Cybercriminelen maken tegenwoordig vooral gebruik van identiteitsgerelateerde aanvalstechnieken zoals phishing, gestolen inloggegevens en social engineering om bedrijfsnetwerken binnen te dringen. Volgens Alexandra Rose, directeur bij de Counter Threat Unit van Sophos, domineren deze methoden de incidentrespons, waarbij phishing 41 procent van de aanvallen uitmaakt, gevolgd door gestolen credentials met 18 procent en social engineering met 12 procent. Aanvallers richten zich steeds vaker op de menselijke factor, omdat deze niet met patches te verhelpen is.

Daarnaast worden legitieme remote monitoring en management (RMM)-tools steeds vaker misbruikt door aanvallers. Tools zoals ConnectWise ScreenConnect, Tactical RMM en MeshAgent, bedoeld voor het beheer van systemen op afstand, worden ingezet voor command-and-control, laterale bewegingen binnen netwerken en het verspreiden van ransomware. Volgens ReliaQuest’s laatste Annual Cyber-Threat Report leidde ConnectWise ScreenConnect het aantal RMM-gerelateerde incidenten tussen december 2025 en februari 2026. Een aparte analyse van de managed detection en response partij Blackpoint toont aan dat 30 procent van de door hen afgehandelde incidenten verband hield met misbruik van legitieme RMM-tools.

Ook netwerkbeveiligingsapparatuur zoals SSL VPN-systemen en andere gateways zijn populaire doelwitten geworden. Kwetsbaarheden in deze apparaten bieden aanvallers een ingang in het netwerk, waarbij SSL VPN-compromitteringen volgens Blackpoint 33 procent van de geïdentificeerde aanvallen uitmaken. Dit maakt netwerkbeveiligingsapparatuur tot een belangrijk aanvalsvlak.

Een andere opkomende techniek is ClickFix, een social engineering-methode waarbij slachtoffers worden misleid om kwaadaardige PowerShell-commando’s uit te voeren via valse ‘fix’-meldingen. Deze meldingen worden verspreid via gehackte websites of gemanipuleerde zoekresultaten, waardoor traditionele beveiligingsmaatregelen zoals e-mailfilters worden omzeild. Vaak worden nep-CAPTCHA-pagina’s gebruikt als lokaas. Deze methode wordt steeds vaker ingezet om remote access trojans te verspreiden, zoals beschreven in een analyse van ReliaQuest.