Noord-Amerika
Salesforce-ecosysteem
In een van de meest significante cyberdreigingen van 2025 werd het Salesforce-ecosysteem het doelwit van een grootschalig datalek door een derde partij, wat wereldwijd voor opschudding zorgde in verschillende sectoren. Door het lek kwamen meer dan 1 miljard records van tientallen internationale ondernemingen op straat te liggen. De campagne verliep in meerdere fasen en richtte zich bewust op de zwakste schakels in het ecosysteem: menselijke users integraties van derde partijen.
Cruciaal is dat dit geen directe inbreuk op de kerninfrastructuur van Salesforce was. In plaats daarvan maakten cybercriminelen misbruik van menselijke fouten en vertrouwde toegang van derden om individuele Salesforce-instanties van klanten te compromitteren. De aanval volgde een duidelijk, herhaalbaar patroon:
- Ten eerste gebruikten aanvallers social engineering en voice phishing (vishing) om zich voor te doen als IT-medewerkers en werknemers te misleiden om toegang te verlenen.
- Vervolgens werden slachtoffers misleid om kwaadaardige Connected Apps te autoriseren, zoals valse versies van Salesforce Data Loader, of om OAuth-tokens bloot te geven die gekoppeld waren aan legitieme tools zoals Salesloft, Drift en Gainsight. Deze tokens gaven aanvallers permanente toegang tot de applicatieprogrammeerinterface (API) en omzeilden vaak de meervoudige authenticatie (MFA).
- Ten slotte gebruikten aanvallers Salesforce API's om grote hoeveelheden gegevens te exporteren, op zoek naar inloggegevens, accountgegevens en gevoelige persoonlijke informatie.
De impact van de aanval was enorm. Tot de getroffen organisaties behoorden luchtvaartmaatschappijen zoals Air France–KLM, Qantas en Vietnam Airlines, retailmerken zoals IKEA, Adidas en Chanel, en andere grote bedrijven, waaronder Google, TransUnion, Toyota en Disney.
De inbreuk werd opgeëist door een hackersgroep die bekend staat als Scattered LAPSUS$ Hunters, die een duistere website lanceerde om voorbeelden van gestolen gegevens te publiceren. De groep dreigde Salesforce en zijn klanten met verdere gegevenspublicaties, tenzij er losgeld zou worden betaald. Salesforce weigerde publiekelijk om aan de losgeld eisen te voldoen en trok daarmee een duidelijke grens tegen afpersing.
BronWat we hebben geleerd
Dit incident maakte duidelijk dat zelfs robuuste security kunnen worden gecompromitteerd wanneer aanvallers misbruik maken van zwakke schakels, zoals user en vertrouwde integraties van derden. In plaats van Salesforce rechtstreeks aan te vallen, richtten cybercriminelen zich op personen en machtigingen die al binnen het ecosysteem aanwezig waren.
Het benadrukte ook hoe AI-gedreven social engineering de lat voor cybercriminaliteit hoger legt. Door AI te gebruiken om overtuigender berichten en imitaties te creëren, kunnen cybercriminelen users gemakkelijk misleiden users toegang te verlenen of kwaadaardige acties goed te keuren. Dit maakt het voor organisaties van cruciaal belang om user te versterken en de toegang van derden, verbonden apps en gegevensrechten nauwlettend in de gaten te houden.
Verenigd Koninkrijk
Jaguar Land Rover (JLR)
Eind augustus 2025 werd de Britse autofabrikant Jaguar Land Rover (JLR) getroffen door een cyberaanval die uitgroeide tot het economisch meest schadelijke cyberincident in de geschiedenis van het Verenigd Koninkrijk. company de aanval company het company zijn systemen in alle wereldwijde productiefaciliteiten stilleggen, wat naar schatting 1,9 miljard pond aan schade opleverde.
Het incident begon op 31 augustus als een digitale inbreuk en escaleerde al snel tot een grote operationele crisis. Hoewel JLR snel actie ondernam om de dreiging in te dammen door systemen stil te leggen, kwam de productie in al zijn fabrieken bijna vijf weken lang tot stilstand. De verstoring had veel grotere gevolgen dan alleen voor JLR zelf. Meer dan 5.000 partners in de toeleveringsketen werden getroffen, waarvan vele te maken kregen met vertraagde betalingen en ernstige operationele tegenslagen. Sommige leveranciers worden nu geconfronteerd met een kredietverstrakking van wel zes maanden, wat illustreert hoe een enkele cyberaanval een rimpeleffect kan hebben op een heel industrieel ecosysteem.
De aanval werd in verband gebracht met Scattered LAPSUS$ Hunters, dezelfde groep die verantwoordelijk was voor de inbreuk op het Salesforce-ecosysteem en verschillende andere opvallende cyberincidenten in 2025.
BronWat we hebben geleerd
De gevolgen van deze aanval laten zien hoe cybercriminelen zich niet langer beperken tot het stelen van gegevens, maar zich richten op wat bedrijven echt draaiende houdt: continuïteit. De wereldwijde sluiting van JLR herinnert ons er duidelijk aan dat cyberweerbaarheid niet alleen gaat om het beschermen van gegevens, maar ook om het draaiende houden van productie, betalingen en toeleveringsketens wanneer alles op het spel staat.
Hoewel het stilleggen en opnieuw opstarten van grootschalige productieprocessen complex en tijdrovend is, laat dit incident zien waarom de meeste organisaties zich niet kunnen veroorloven om bedrijfscontinuïteit en recovery BCDR) als een bijzaak te beschouwen. Een sterke BCDR-strategie helpt u om kritieke functies draaiende te houden, downtime te beperken en de domino-effecten voor partners en klanten te verminderen. De les is duidelijk: bij het plannen van veerkracht moet rekening worden gehouden met hoe het bedrijf in de praktijk functioneert, en niet alleen met hoe gegevens worden beschermd.
Verenigde Staten
Amerikaanse universiteiten
Cyberaanvallen op Amerikaanse onderwijsinstellingen namen in 2025 toe, waarbij verschillende grote universiteiten werden getroffen, waaronder Ivy League-instellingen zoals de Universiteit van Pennsylvania en Princeton University. Bij deze incidenten kwamen miljoenen records met persoonlijke informatie van studenten, alumni, medewerkers en leden van de gemeenschap op straat te liggen.
Bij Penn kwam de aanval op 31 oktober aan het licht, toen leden van de universitaire gemeenschap e-mails ontvingen die afkomstig leken te zijn van de Graduate School of Education. De universiteit bevestigde later dat systemen die verband hielden met ontwikkelings- en alumni-activiteiten waren gehackt. Weken later maakte Princeton University een afzonderlijke inbreuk bekend die betrekking had op de database van haar ontwikkelingsafdeling. Terwijl het incident bij Penn betrekking had op persoonlijk identificeerbare informatie (PII) en enkele bankgegevens, verklaarde Princeton dat de inbreuk beperkt bleef tot namen, contactgegevens, adressen en donatiegeschiedenis.
Cyberaanvallen op onderwijsinstellingen nemen snel toe, grotendeels omdat universiteiten enorme hoeveelheden gevoelige persoonlijke en financiële gegevens opslaan. Naast algemene netwerkinbraken voeren aanvallers ook gerichte campagnes tegen universiteitsmedewerkers. In één van die gevallen ontdekte Microsoft een 'payroll pirate'-campagne waarbij cybercriminelen inbraken in HR-platforms, zoals Workday, om de salarissen van werknemers te kapen.
BronWat we hebben geleerd
Social engineering-aanvallen worden steeds vaker gebruikt om onderwijsinstellingen binnen te dringen, vaak als eerste stap naar gegevensdiefstal of het inzetten van ransomware. Bij verschillende incidenten in 2025 hebben IT-teams snel actie ondernomen om getroffen systemen te vergrendelen zodra verdachte activiteiten werden gedetecteerd. Aanvallers konden echter nog steeds frauduleuze e-mails versturen en toegang krijgen tot gevoelige gegevens, wat aantoont hoe snel schade kan ontstaan zodra misbruik wordt gemaakt van vertrouwen.
Tegelijkertijd laten campagnes zoals 'payroll pirate' een duidelijke verschuiving zien van brede, niet-gerichte inbreuken naar gerichte aanvallen op kritieke systemen en specifieke personen. Om het risico te verminderen, hebben onderwijsinstellingen sterkere security nodig, waaronder geavanceerde dreigingsdetectie om inbraken vroegtijdig te identificeren en betrouwbare back-up- en recovery die helpen om de bedrijfsvoering tijdens verstoringen draaiende te houden.
Australië
Universiteit van Western Sydney
Niet alleen Amerikaanse universiteiten worden aangevallen, ook onderwijsinstellingen wereldwijd worden steeds vaker het doelwit van cybercriminelen. In 2025 werd de Western Sydney University getroffen door een reeks cyberincidenten, waardoor dit een van de ernstigste inbreuken in de onderwijssector van het afgelopen jaar was.
De universiteit constateerde op 6 en 11 augustus twee gevallen van ongebruikelijke activiteit, beide met betrekking tot een studentenbeheersysteem dat werd gehost door een externe cloudprovider. Hoewel de toegang tot het platform werd geblokkeerd nadat de verdachte activiteit was ontdekt, bleek uit nader onderzoek dat de aanvaller misbruik had gemaakt van een keten van verbonden leveranciers. Door ongeoorloofde toegang via deze systemen van derde en vierde partijen kon de aanvaller toegang krijgen tot het studentenbeheersysteem van de universiteit en gegevens wegsluizen.
De hacker heeft zeer gevoelige studentengegevens gestolen, waaronder belastingnummers, paspoortgegevens en persoonlijke gezondheids- en invaliditeitsgegevens. In december hebben de autoriteiten bevestigd dat een voormalige student van de Western Sydney University in verband met de aanvallen is aangeklaagd.
BronWat we hebben geleerd
Dit incident laat zien dat cyberdreigingen tegenwoordig niet altijd afkomstig zijn van grote ransomwaregroepen of nationale actoren. Zelfs een ontevreden insider of oud-student kan een geavanceerde aanval uitvoeren, dankzij de gemakkelijke toegang die zij hebben tot kant-en-klare tools.
Er is tegenwoordig een bloeiende ondergrondse markt waar malwarekits en diensten zoals ransomware-as-a-service (RaaS) worden verkocht. Dit verlaagt de drempel voor cybercriminaliteit, waardoor zelfs personen met minimale technische vaardigheden verwoestende aanvallen kunnen uitvoeren. Om dit tegen te gaan, hebben organisaties gelaagde beveiliging nodig die continue monitoring, strenge toegangscontroles en versleutelde back-ups combineert.
Noord-Amerika
Rode Hoed
Op 2 oktober bevestigde Red Hat, een toonaangevende leverancier van open-source software voor bedrijven, een cyberaanval op zijn GitLab-instantie voor consulting. Met een klantenbestand dat bestaat uit overheidsinstanties, exploitanten van kritieke infrastructuur en grote bedrijven, zou het incident gegevens van meer dan 800 organisaties hebben getroffen.
Een dag eerder had een cybercriminaliteitsgroep die zichzelf Crimson Collective noemt, het datalek openbaar gemaakt. De groep beweerde dat het 570 GB aan gecomprimeerde gegevens had buitgemaakt uit meer dan 28.000 opslagplaatsen, waaronder gevoelige klantbetrokkenheidsrapporten (CER's). Red Hat bevestigde later dat het ongeoorloofde toegang had gedetecteerd tot een zelfgehoste GitLab-instantie die werd gebruikt voor interne Red Hat Consulting-samenwerking in bepaalde klantprojecten.
Volgens Red Hat bevatte de gecompromitteerde omgeving projectspecificaties, voorbeeldcodefragmenten, interne communicatie met consultants en beperkte zakelijke contactgegevens. Het company dat het incident beperkt bleef tot deze GitLab-omgeving voor consultants en geen invloed had op de kernproducten of productiesystemen van Red Hat.
Meerdere rapporten suggereren echter dat de gestolen gegevens bijna 3,5 miljoen bestanden omvatten, samen met gevoelige rapporten met betrekking tot de computernetwerken van organisaties in de bank-, telecom- en overheidssector.
BronWat we hebben geleerd
Aanvallen waarbij gebruik werd gemaakt van systemen van derden om gevoelige gegevens te stelen, waren het afgelopen jaar een terugkerend thema. Aanvallers richten zich steeds vaker op leveranciers, consultants en gedeelde platforms die vertrouwde toegang hebben tot meerdere organisaties, aangezien één zwakke schakel honderden slachtoffers tegelijk kan blootstellen.
Om dit risico te beperken, moeten organisaties de toegang van derden behandelen als onderdeel van hun eigen security . Dat betekent dat de toegang van leveranciers strikt moet worden beperkt, dat de machtigingen voor tools van derden en SaaS-integraties voortdurend moeten worden gecontroleerd en dat ongebruikelijke activiteiten moeten worden gemonitord. Regelmatige security van leveranciers, in combinatie met snelle detection and response , kunnen helpen om inbreuken vroegtijdig op te sporen, voordat aanvallers zich lateraal kunnen verplaatsen of grote hoeveelheden gegevens kunnen exfiltreren.
