Criminele actor

Een criminele actor is een individu of groep die cybercriminaliteit pleegt met als primair doel financieel gewin. Binnen het dreigingslandschap van cybersecurity vormen criminele actoren de grootste en meest diverse categorie van dreigingsactoren. Ze variieren van individuele opportunisten die kant-en-klare aanvalstools inzetten tot goed georganiseerde criminele netwerken die opereren als professionele ondernemingen met eigen afdelingen voor ontwikkeling, distributie en klantenservice. De schade die criminele actoren jaarlijks veroorzaken, loopt wereldwijd in de biljoenen euro's.

Kenmerken van criminele actoren

Het onderscheidende kenmerk van criminele actoren is hun financiele motivatie. Waar staatactoren primair gericht zijn op spionage en geopolitieke doelstellingen, en hacktivisten gedreven worden door ideologische overtuigingen, zijn criminele actoren uitsluitend gericht op het genereren van inkomsten. Deze focus op geld maakt ze pragmatisch en opportunistisch: ze richten zich op doelwitten die een geschikte verhouding bieden tussen inspanning en verwachte opbrengst.

Criminele actoren opereren steeds vaker als georganiseerde bedrijven. Het Ransomware-as-a-Service (RaaS) model is hiervan een treffend voorbeeld. Gespecialiseerde ontwikkelaars creeren de ransomware en stellen deze beschikbaar aan affiliates die de daadwerkelijke aanvallen uitvoeren. De opbrengsten worden gedeeld volgens vaste percentages. Sommige criminele groepen bieden zelfs helpdesks aan voor slachtoffers die hulp nodig hebben bij het betalen van losgeld in cryptocurrency.

De professionalisering van cybercrime heeft geleid tot een specialisatiemodel waarbij verschillende actoren zich toeleggen op specifieke onderdelen van de aanvalsketen. Initial Access Brokers (IAB's) specialiseren zich in het verkrijgen van toegang tot organisaties en verkopen deze toegang vervolgens aan andere criminelen. Andere groepen specialiseren zich in het ontwikkelen van malware, het witwassen van cryptocurrency of het verkopen van gestolen data op darknet-markplaatsen.

Veelgebruikte aanvalstechnieken

Phishing en social engineering zijn de meest gebruikte technieken van criminele actoren om initieel toegang te verkrijgen tot organisaties. Via overtuigende e-mails, berichten of telefoontjes (voice phishing) worden medewerkers verleid om inloggegevens te delen, malware te installeren of geld over te maken. De kwaliteit van phishingaanvallen neemt toe door het gebruik van AI-tools die overtuigende, gepersonaliseerde berichten genereren.

Ransomware blijft een van de meest lucratieve aanvalstechnieken. Moderne ransomware-aanvallen combineren dataversleuteling met data-exfiltratie (double extortion) en soms ook DDoS-dreigementen (triple extortion) om maximale druk op het slachtoffer uit te oefenen. De gemiddelde losgeldeis is de afgelopen jaren gestegen en bedraagt nu regelmatig honderduizenden tot miljoenen euro's voor middelgrote organisaties.

Business Email Compromise (BEC) is een andere veelgebruikte techniek waarbij criminele actoren zich voordoen als een leidinggevende of zakenpartner om medewerkers te bewegen tot het uitvoeren van financiele transacties. Deze aanvallen zijn bijzonder effectief omdat ze geen malware gebruiken en daardoor niet worden gedetecteerd door traditionele beveiligingstools. De schade per incident kan oplopen tot miljoenen euro's.

Het exploiteren van bekende kwetsbaarheden in publiek toegankelijke systemen is een derde belangrijke aanvalsvector. Criminele actoren monitoren actief de publicatie van nieuwe kwetsbaarheden en proberen deze te misbruiken voordat organisaties de patches hebben geinstalleerd. Het verkort van de patch gap, de tijd tussen het beschikbaar komen van een patch en de installatie ervan, is daarom cruciaal.

Criminele actoren versus andere dreigingsactoren

Het dreigingslandschap omvat verschillende typen actoren, elk met eigen motivaties en capaciteiten. Naast criminele actoren zijn er staatactoren die spionage plegen in opdracht van een overheid, hacktivisten die ideologisch gemotiveerd zijn, insider threats die van binnenuit opereren en script kiddies die aanvallen uitvoeren met kant-en-klare tools zonder diepgaande technische kennis.

Het onderscheid tussen criminele actoren en staatactoren vervaagt steeds meer. Sommige staten gebruiken criminele groepen als proxy om cyberaanvallen uit te voeren die niet direct naar de staat te herleiden zijn. Andersom maken criminele actoren gebruik van aanvalstools en -technieken die oorspronkelijk door staatactoren zijn ontwikkeld. Het NCSC waarschuwt dat de capaciteiten van professionele criminele groepen inmiddels vergelijkbaar zijn met die van sommige staatactoren.

Criminele actoren zijn doorgaans minder selectief in hun doelwitkeuze dan staatactoren. Waar een staatactor zich richt op specifieke organisaties die van strategisch belang zijn, scannen criminele actoren breed en automatisch naar kwetsbare systemen. Elke organisatie met een kwetsbaarheid is een potentieel doelwit, ongeacht sector of omvang. Dit maakt de dreiging van criminele actoren universeel en relevant voor elke organisatie.

Impact op Nederlandse organisaties

Nederlandse organisaties zijn een aantrekkelijk doelwit voor criminele actoren vanwege de hoge mate van digitalisering, de relatief welvarende economie en de aanwezigheid van veel internationale bedrijven. Het Cybersecuritybeeld Nederland rapporteert jaarlijks over de dreigingen die criminele actoren vormen voor Nederlandse organisaties en bevestigt dat ransomware en data-exfiltratie de meest impactvolle aanvalstypen blijven.

Het MKB is bijzonder kwetsbaar voor criminele actoren. Kleinere organisaties beschikken vaak over minder beveiligingsexpertise en -budget, maar verwerken desondanks waardevolle klantgegevens en financiele informatie. Criminele actoren weten dit en richten hun geautomatiseerde aanvallen steeds vaker op het MKB, waar de kans op succes groter is en de verdediging minder geavanceerd.

De toeleveringsketen vormt een groeiend risicopunt. Criminele actoren compromitteren leveranciers en dienstverleners om via hen toegang te krijgen tot hun klanten. Een compromittering van een IT-dienstverlener kan tientallen of honderden klantorganisaties treffen. Het beheren van supply chain risico's is daarom een essentieel onderdeel van de verdediging tegen criminele actoren.

Verdediging tegen criminele actoren

Effectieve verdediging tegen criminele actoren vereist een meerlagige aanpak. Begin met de basis: zorg voor tijdige patches, sterke authenticatie met multifactorauthenticatie, regelmatige back-ups en security awareness training voor medewerkers. Deze basismaatregelen sluiten een groot deel van de geautomatiseerde aanvallen af waarmee criminele actoren breed scannen naar kwetsbare doelwitten.

Investeer in detectiecapaciteiten om aanvallen vroegtijdig te signaleren. Security monitoring, endpoint detection and response (EDR) en netwerksegmentatie helpen om aanvallers te detecteren en hun bewegingsvrijheid te beperken voordat ze significante schade kunnen aanrichten. Overweeg het inschakelen van een managed security provider als je organisatie niet over voldoende interne expertise beschikt.

Bereid je voor op het moment dat een aanval slaagt. Een goed ingericht incident response plan, geteste back-upprocedures en duidelijke communicatieprotocollen zorgen ervoor dat je snel en effectief kunt reageren. Het verschil tussen een snel herstel en een langdurige crisis wordt vaak bepaald door de voorbereiding die vooraf is getroffen.

Veelgestelde vragen over criminele actoren

Wat is het verschil tussen een criminele actor en een hacker?

De term hacker is neutraal en verwijst naar iemand met technische vaardigheden. Een criminele actor gebruikt deze vaardigheden specifiek voor illegale activiteiten met financieel gewin als doel. Niet alle hackers zijn crimineel; ethische hackers en security-onderzoekers gebruiken dezelfde vaardigheden om organisaties juist te beschermen.

Hoe verdienen criminele actoren geld?

Via losgeld (ransomware), het verkopen van gestolen data op darknet-markplaatsen, fraude (BEC, creditcardfraude), het verkopen van toegang tot gecompromitteerde systemen, cryptomining op andermans hardware en het aanbieden van cybercrime-diensten aan andere criminelen.

Zijn criminele actoren altijd technisch onderlegd?

Niet noodzakelijk. Door het Cybercrime-as-a-Service model kunnen ook minder technisch onderlegde personen geavanceerde aanvallen uitvoeren. Ze kopen kant-en-klare tools, gehuurde infrastructuur en gestolen credentials op darknet-markplaatsen en hoeven zelf weinig technische kennis te bezitten.

Kan je organisatie doelwit worden van criminele actoren?

Elke organisatie die digitaal werkt is een potentieel doelwit. Criminele actoren scannen automatisch en breed naar kwetsbaarheden. De vraag is niet of je wordt aangevallen, maar wanneer, en of je voorbereid bent om de aanval te weerstaan of snel te herstellen.

Bescherming tegen cybercriminelen

Het beschermen van je organisatie tegen criminele actoren vereist een combinatie van preventie, detectie en respons. Via het platform vind je managed security providers die je helpen met een integrale verdedigingsstrategie tegen de dreigingen van criminele actoren.

Versterk je verdediging tegen cybercriminelen met experts via IBgidsNL.