Welke cyberaanvallen zijn er recent geweest in Nederland?
Het is volop in het nieuws de laatste tijd: cyberaanvallen op bedrijven waarbij grote datalekken ontstaan. Wist je dat 77% van de MKB-bedrijven afgelopen twee jaar doelwit is geweest van een cyberaanval? En dat 1 op de 5 (20%) van alle bedrijven schade heeft opgelopen door een dergelijke aanval? Helaas zijn deze cijfers niet meer weg te denken in het bedrijfsleven. In deze blog vertellen we over een aantal recente grote cyberzaken en leggen we je uit hoe je dit als bedrijf kunt voorkomen.
--> Wil je graag direct meer weten? Neem contact met ons op.
Grote cyberaanvallen in 2026
Lees hier meer over een aantal recente, grote cyberaanvallen en datalekken die hebben plaatsgevonden in Nederland.
1. Persoonsgegevens studenten en docenten gestolen door hack bij Canvas (mei 2026)
Hackersgroep ShinyHunters heeft een grootschalige cyberaanval uitgevoerd op onderwijsplatform Canvas, waarbij mogelijk gegevens van zo’n 275 miljoen studenten, docenten en medewerkers wereldwijd zijn buitgemaakt. Ongeveer 9000 onderwijsinstellingen zouden getroffen zijn. Ook Nederlandse instellingen zoals de Universiteit van Amsterdam, VU, Erasmus Universiteit en Fontys maken gebruik van Canvas en onderzoeken nog of zij geraakt zijn. De Universiteit Maastricht heeft al laten weten op de hoogte te zijn, maar weet nog niet of er daadwerkelijk gegevens zijn gestolen.
Volgens moederbedrijf Instructure gaat het om gegevens zoals namen, studentnummers, e-mailadressen en mogelijk privéberichten tussen gebruikers. Gevoelige informatie zoals wachtwoorden, geboortedata en bankgegevens zou niet zijn buitgemaakt. De hackers dreigen de data openbaar te maken als er niet wordt gereageerd vóór 6 mei. (bron: RTL Nieuws)
2. Cyberaanval op Odido (februari 2026)
De meest spraakmakende recente cyberzaak is uiteraard die van Odido. De online aanval vond plaats in het weekend van 7 en 8 februari 2026. De aanvallers die bij Odido zijn binnengedrongen, kregen toegang door in te loggen op accounts van afzonderlijke klantenservicemedewerkers. Via phishingmails wisten zij de inloggegevens, waaronder wachtwoorden, te bemachtigen. In totaal zijn de gegevens van 6.2 miljoen (ex-)klanten verkregen en verkocht. (bron: NOS)
Neppe verkeersboetes
Een van de vervelende gevolgen voor de klanten van Odido is dat ze nu al, een ruime maand na de hack, phishing mails krijgen. Hoewel de link niet altijd direct gelegd kan worden, is het aannemelijk dat beide situaties in verband staan met elkaar. Het CJIB (Centraal Justitieel Incassobureau) meldt dat ze de afgelopen weken duizenden meldingen hebben ontvangen van neppe verkeersboetes. De slachtoffers ontvangen een neppe betaallink voor een boete die nooit bestaan heeft, om zo de gegevens van de rekeninghouder te ontvangen.
Wil je checken of je een echte boete ontvangen hebt, of een neppe? Check het op de site van het CJIB.
3. Datalek bij Rituals (april 2026)
Rituals heeft bekendgemaakt dat er deze maand een datalek heeft plaatsgevonden waarbij een hacker onrechtmatig lidmaatschapsgegevens heeft gedownload, waaronder namen, adressen, e-mailadressen, telefoonnummers en geboortedata; wachtwoorden en betaalgegevens zijn volgens het bedrijf niet buitgemaakt. Het is nog onduidelijk hoeveel klanten zijn getroffen, maar doordat informatiepagina’s in meerdere landen beschikbaar zijn, lijkt het lek internationaal van omvang. De toegang is inmiddels geblokkeerd en er zijn extra beveiligingsmaatregelen genomen, al is niet gespecificeerd welke. Vooralsnog zijn de gegevens niet openbaar verschenen, maar Rituals waarschuwt dat ze mogelijk gebruikt kunnen worden voor phishing en roept klanten op om extra alert te zijn. (bron: Tweakers)
4. Basic-Fit gehackt (april 2026)
De bekende sportschoolketen Basic-Fit is door een grote hack getroffen. Hierbij zijn gegevens van 1 miljoen leden gestolen, waaronder ongeveer 200.000 Nederlandse leden. De keten ontdekte de aanval dankzij systeembewaking en kon de aanval in een aantal minuten stoppen. Helaas werden in de tussentijd veel gegevens buitgemaakt. Het gaat onder andere om naam- en adresgegevens, lidmaatschapsinformatie, telefoonnummers, e-mailadressen, bankrekeninggegevens en geboortedata. Wachtwoorden zijn niet ingezien. Of de data verspreid zijn, is nog niet duidelijk. De getroffen leden zijn door Basic-Fit geïnformeerd over de hack. Leden die geen bericht kregen, hoeven zich volgens de sportschoolketen geen zorgen te maken. Wel is het voor ieder goed om alert te zijn op e-mails, telefoontjes en andere contactpogingen, waarbij men zich voordoet als Basic-Fit. (Bron: NU.nl)
5. Hack bij Booking.com (april 2026)
Onbevoegde derden hebben toegang gekregen tot boekingsgegevens van platform Booking.com, meldt het AD. Zo zijn specifieke e-mailadressen, telefoonnummers en bepaalde boekingsgegevens gelekt. Betalingsgegevens en adressen zouden niet gestolen zijn. Wanneer de hack precies plaatsvond en hoeveel mensen getroffen zijn, wordt niet gedeeld door de boekingssite. Wel zou het boekingsplatform voor vakantieaccommodaties getroffen klanten via e-mail op de hoogte gesteld hebben van de hack. Het is aan te raden om waakzaam te zijn op valse e-mails en andere contactpogingen, die worden ondernomen onder de naam van Booking.com of de geboekte accommodatie.
6. Chipsoft cyberaanval (april 2026)
Een recente cyberaanval op zorgsoftwareleverancier ChipSoft onderstreept opnieuw hoe kwetsbaar de Nederlandse zorgsector is voor digitale dreigingen. Het bedrijf, dat door circa 70% van de ziekenhuizen wordt gebruikt voor patiëntendossiers, werd getroffen door een incident waarbij mogelijk ongeautoriseerde toegang tot systemen is verkregen. Hoewel nog niet is bevestigd of het om ransomware gaat, kan niet worden uitgesloten dat persoonsgegevens zijn ingezien of buitgemaakt. Als voorzorgsmaatregel kregen zorginstellingen het advies om VPN-verbindingen te verbreken en netwerkverkeer extra te monitoren. De impact lijkt vooralsnog beperkt, maar de situatie laat zien hoe groot de afhankelijkheid van centrale IT-leveranciers is binnen de zorg. (Bron: NOS)
7. Cyberaanval op voetbalclub Ajax (maart 2026)
Bij Ajax is een ernstig beveiligingslek ontdekt waardoor onbevoegden toegang konden krijgen tot accounts van supporters, seizoenskaarten konden overzetten of blokkeren en zelfs stadionverboden konden inzien en verwijderen. Het lek zat in zowel de app als de website, waar digitale sleutels onvoldoende beveiligd waren, waardoor manipulatie van data mogelijk was. Hierdoor konden ook gevoelige persoonsgegevens van meer dan 300.000 fans worden ingezien, inclusief gegevens van ruim 500 supporters met een stadionverbod. RTL Nieuws toonde de ernst aan door onder meer een seizoenskaart van directeur Menno Geelen over te nemen. Ajax heeft het lek inmiddels gedicht, doet onderzoek, heeft melding gemaakt bij de Autoriteit Persoonsgegevens en roept supporters op alert te blijven.
8. Datalek bij het Ministerie van Financiën (maart 2026)
Het ministerie van Financiën is getroffen door een hack waarbij op 19 maart ongeautoriseerde toegang tot interne systemen werd ontdekt, al is de exacte omvang en duur van de inbraak nog onbekend. Na de ontdekking werd een onderzoek gestart en op 23 maart is de toegang tot de getroffen systemen afgesloten, wat interne gevolgen had maar geen impact op de dienstverlening van onder meer de Belastingdienst en Douane. Het is onduidelijk hoe lang de aanvallers al aanwezig waren en waarom niet direct is ingegrepen. Het incident past binnen een bredere reeks recente cyberproblemen bij de Nederlandse overheid, waarbij meerdere organisaties en ministeries zijn getroffen door hacks en datalekken. Lees hier meer.
9. Grote datalek bij de Gemeente Epe (maart 2026)
Bij een cyberaanval op de gemeente Epe zijn in maart persoonsgegevens van vrijwel alle circa 32.000 inwoners gestolen, waaronder naam, adres, geslacht, geboortedatum, geboorteplaats en BSN; van een deel zijn ook contactgegevens, bankrekeningnummers en meer dan duizend kopieën van identiteitsbewijzen buitgemaakt. De gegevens stonden op een interne server voor medewerkers en werden gebruikt voor ingediende documenten, zoals aanvragen en bezwaren. Wachtwoorden en DigiD-gegevens zijn volgens de gemeente niet gestolen en de data is vooralsnog niet op het darkweb verschenen. De gemeente heeft maatregelen genomen, inwoners worden geïnformeerd en getroffen personen kunnen gratis hun identiteitsdocumenten vervangen, terwijl de politie onderzoek doet naar de daders en inwoners wordt geadviseerd alert te zijn op misbruik en phishing. (bron: NOS)
Lees meer over hoe jij een cyberaanval voorkomt
Hoe voorkom ik een cyberaanval?
Cyberaanvallen zoals datalekken of ransomware zijn vaak het gevolg van zwakke plekken in de digitale beveiliging. Om dit te voorkomen, is het belangrijk om structureel inzicht te hebben in je risico’s en je beveiliging daarop in te richten. De Europese NIS2-richtlijn sluit hier direct op aan: deze verplicht organisaties om hun digitale weerbaarheid aantoonbaar te verbeteren door risicoanalyses uit te voeren, passende technische en organisatorische maatregelen te nemen en incidenten tijdig te melden. Door deze aanpak te volgen, verklein je niet alleen de kans op een succesvolle aanval, maar zorg je er ook voor dat je als organisatie beter voorbereid bent wanneer er toch iets misgaat.
Ook is het Zero Trust principe is heel belangrijk. Het Zero Trust principe draait daarom om een andere benadering: vertrouw nooit automatisch een gebruiker, apparaat of verbinding. Iedere toegang tot systemen en data moet continu worden geverifieerd en gecontroleerd. Zo beperk je de impact van een mogelijke aanval en verklein je de kans dat een aanvaller zich door je netwerk kan bewegen.
Wil je meer weten hoe je een cyber attack voorkomt? Of wil je inzicht in welke stappen nodig zijn om je netwerkarchitectuur hierop aan te passen? Onze specialisten helpen je met een analyse van je huidige infrastructuur en adviseren welke maatregelen nodig zijn!
Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe je jouw netwerk beter beschermt tegen moderne cyberdreigingen. Je kunt ook het onderstaande formulier invullen.
- Veilig betalen