Huntress presenteert de Tragic Quadrant, een overzicht van de meest schadelijke cyberaanvallen op bedrijven in 2026, met focus op misbruik van vertrouwde tools.
Cyberaanvallen die bedrijven het hardst treffen, maken vaak gebruik van vertrouwde tools en workflows. Dit blijkt uit de Tragic Quadrant van Huntress Labs, een gerangschikt overzicht van cyberdreigingen die organisaties het meest in gevaar brengen. Vooral voor kleine en middelgrote organisaties is het cruciaal om te weten welke aanvallen in hun omgeving voorkomen en hoe zij hun verdediging kunnen prioriteren.
Een belangrijke dreiging is het misbruik van remote monitoring en management (RMM)-tools. Deze tools zijn gangbaar binnen IT-teams, maar een enkele kwaadaardige installatie kan een aanvaller langdurige toegang geven die lijkt op reguliere beheertaken. In het eerste kwartaal van 2026 betrof 45% van de door Huntress onderzochte endpoint-incidenten RMM-misbruik. Daarbij zetten aanvallers ook kunstmatige intelligentie in om overtuigende nepdocumenten en serviceovereenkomsten te creëren die gebruikers verleiden tot het installeren van ongewenste RMM’s.
Mailboxmanipulatie vormt een ingang voor Business Email Compromise (BEC). Tot nu toe in 2026 wijst 24,6% van de Identity Threat Detection and Response-signalen op mailboxmanipulatie en -persistentie. Met toegang tot een mailbox kunnen aanvallers inboxregels aanpassen en factuurgegevens wijzigen, waardoor betalingen worden omgeleid zonder dat malware wordt gedetecteerd.
Accountovernames die multi-factor authenticatie (MFA) omzeilen, komen ook veel voor. Adversary-in-the-middle (AiTM)-aanvallen maakten in 2025 18,9% uit van alle door Huntress geregistreerde identiteitsdreigingen. Hierbij onderschept de aanvaller sessietokens tussen het slachtoffer en de echte Microsoft 365-login, waardoor toegang mogelijk is zonder wachtwoord of nieuwe MFA-uitdaging.
Naast deze topdreigingen verdient ook device code phishing aandacht. Deze methode maakt gebruik van de legitieme Microsoft-device code login, waardoor het controleren van URL’s niet helpt. Aanvallers verkrijgen hiermee toegangstokens die langer geldig blijven dan wachtwoordwijzigingen. In een periode van 16 dagen werden 344 organisaties in vijf landen getroffen door een phishingkit genaamd EvilTokens, met token-harvesting infrastructuur die via legitieme redirects van Cisco, Trend Micro en Mimecast werd verspreid.
Daarnaast blijft ClickFix een hardnekkige dreiging. Deze malware maakt misbruik van de gewoonte van gebruikers om snel te kopiëren en plakken om beveiligingsmaatregelen te omzeilen, vaak via nep-CAPTCHAs of verificatieverzoeken die gebruikers misleiden.
