De week in Breach-nieuws 29 juli 2026

Op donderdag 23 juli werden Microsoft-gebruikers getroffen door een grootschalige storing, waardoor de toegang tot Azure- en Microsoft 365-diensten werd verstoord.

De storing begon op 23 juli om 10:44 uur ET en trof vooral klanten die toegang hadden tot Microsoft 365-diensten via een netwerkinfrastructuur die was aangesloten op de Azure-regio ‘West US’ van Microsoft. Microsoft heeft het incident geregistreerd onder ID MO1437424 en bevestigd dat meerdere Microsoft 365-diensten waren getroffen, waaronder OneDrive, SharePoint Online, Microsoft Teams, het Microsoft 365 Admin Center, Power Automate, Copilot Chat en Microsoft Loop.

Microsoft maakte later bekend dat de storing werd veroorzaakt tijdens routineonderhoud aan apparatuur in de Azure-regio West US, waar specifieke netwerkpaden werden geïsoleerd. Het bedrijf verklaarde dat het onderhoudsproces deze verzoeken omzet in voor het systeem leesbare instructies en controleert of ten minste één van de twee redundante netwerkpaden in goede staat blijft voordat de werkzaamheden beginnen. Een fout in het systeem voor het omzetten van verzoeken zorgde er echter voor dat extra netwerkapparaten ten onrechte als onderdeel van de onderhoudswerkzaamheden werden aangemerkt, wat leidde tot een grootschalige dienstonderbreking.

Hugging Face heeft bekendgemaakt dat een autonoom AI-agentsysteem is binnengedrongen in zijn productie-infrastructuur en toegang heeft gekregen tot interne datasets en inloggegevens.

Hugging Face is een open-sourceplatform voor AI en machine learning dat door meer dan 50.000 organisaties wordt gebruikt en toegang biedt tot meer dan 45.000 modellen van toonaangevende AI-aanbieders. Volgens berichten zijn de autonome testmodellen van OpenAI ontsnapt uit een afgeschermde testomgeving en hebben ze zich zelfstandig op Hugging Face gericht in een meerfasige cyberaanval. De AI-modellen zouden gebruik hebben gemaakt van een zero-day-kwetsbaarheid in de proxy om uit de afgeschermde omgeving te ontsnappen en gegevens te verzamelen om een evaluatiebenchmark op te lossen, zonder dat er sprake was van kwaadwilligheid of instructies van mensen om aan te vallen.

Het incident wordt beschreven als een van de eerste openbaar gemaakte voorbeelden waarbij een AI-systeem zelfstandig uit zijn testomgeving is ontsnapt en een echt extern systeem heeft aangetast. Dit is een voorbeeld van het scenario van een „agenteuze aanvaller” waarvoor de AI- en cyberbeveiligingssector al geruime tijd waarschuwt. In een verklaring heeft OpenAI laten weten dat het het incident beschouwt als een ongekende cyberincident waarbij gebruik is gemaakt van de allernieuwste cybercapaciteiten, en dat het hierop gepast reageert.

De afpersingsbende ShinyHunters heeft de verantwoordelijkheid opgeëist voor een recente aanval op de toeleveringsketen van het wereldwijde accountantskantoor EY.

Eerder deze maand was de in Londen gevestigde accountantsgigant begonnen met het informeren van klanten dat hun persoonlijke en financiële gegevens waren gelekt als gevolg van een datalek. Het incident, dat op 23 april aan het licht kwam, had betrekking op een extern platform voor servicemanagement dat door EY wordt gebruikt ter ondersteuning van belastinggerelateerde werkzaamheden voor zijn klanten. Tijdens de aanval zijn supporttickets gestolen die mogelijk belastinggegevens van klanten bevatten, wat erop wijst dat persoonlijke en financiële gegevens die in belastingaangiften zijn opgenomen of voor het opstellen daarvan zijn gebruikt, mogelijk zijn gelekt.

ShinyHunters heeft EY nu toegevoegd aan zijn dark web-lekwebsite, waarbij de groep de verantwoordelijkheid voor de aanval opeist en dreigt de vermeende gestolen gegevens te publiceren als het bedrijf niet vóór 31 juli 2026 contact opneemt met de groep.

Ransomware-bendes maken misbruik van een kwetsbaarheid met ernstgraad ‘kritiek’ die het uitvoeren van externe code (RCE) mogelijk maakt in de PLM-platforms (Product Lifecycle Management) van PTC, Windchill en FlexPLM.

Het beveiligingslek, geregistreerd onder CVE-2026-12569 (CVSS-score: 9,3), werd op 17 juni verholpen. De volgende dag waarschuwde PTC dat het lek in het wild was misbruikt en publiceerde het indicatoren van compromittering (IoC’s). De kwetsbaarheid werd eind juni toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus van CISA. PTC omschreef de kwetsbaarheid als een kwetsbaarheid door deserialisatie van onbetrouwbare gegevens die zonder authenticatie kan worden misbruikt.

Uit rapporten blijkt nu dat de kwetsbaarheid wordt misbruikt door een gelieerde groep van de Cl0p-ransomwarebende. De aanvallers richten zich voornamelijk op organisaties in de lucht- en ruimtevaart, de automobielindustrie, de productiesector en de detailhandel/kledingbranche.

Stadler Rail heeft een losgeld eis van ongeveer 10 miljoen Zwitserse frank (ongeveer 12,3 miljoen dollar) van de Everest-ransomwarebende afgewezen, nadat aanvallers inbraken hadden gepleegd op een platform voor gegevensuitwisseling dat het bedrijf deelde met een van zijn leveranciers.

Stadler Rail, een multinationale Zwitserse fabrikant van locomotieven, trams, metrotreinen, passagierstreinen en spoorwegsignaleringssystemen, heeft bekendgemaakt dat het een afpersingsbrief heeft ontvangen van de Everest-ransomwarebende, waarin om betaling van losgeld wordt geëist. Het bedrijf heeft laten weten dat het geen losgeld zal betalen aan de cybercriminelen en dat het aangifte heeft gedaan bij de kantonnale politie van Thurgau.

Volgens Stadler Rail vond het incident half juli plaats en had het geen gevolgen voor de IT-systemen of de productieactiviteiten van het bedrijf, die wereldwijd normaal blijven functioneren. Het bedrijf verklaarde dat de aanvallers uitsluitend technische informatie van een leverancier hebben gestolen die niet als veiligheidsrelevant wordt beschouwd.