Het begint onopvallend
Een onderzoeker stumbled onlangs op onbeveiligde besturingspanelen waarvan een aanvaller voor ongeveer 5.000 dollar aan AI-tokens had gebruikt. Dat klinkt als veel, totdat je beseft wat hij daarvoor kreeg: meer dan honderd succesvolle inbraken. Per inbraak kostte het hem zo'n 50 dollar. Hij probeerde minstens 1.200 websites. Bedrijven als Deere, SharkNinja en Cummins werden getroffen. Maar dit is niet alleen een verhaal van grote Amerikaanse fabrikanten.
Wat hier gebeurt, is dat AI-agents zich zelfstandig door systemen heen werken. Ze scannen, proberen, leren van hun mislukkingen en gaan door. Geen menselijke hacker die geduld verliest of slaperig wordt. Gewoon algoritmes die constant proberen.
Waarom dit nu echt een probleem is voor jou
De meeste Nederlandse mkb'ers zeggen: dat raakt ons niet. Wij hebben niets interessants. Klopt niet helemaal. Je hebt data. Je klanten hebben data. Je financiële systemen zitten ergens online. Een chatbot-achtige AI hoeft niet persé op zoek te zijn naar staatsgeheimen. Het gaat om automatische toegang. Eenmaal binnen, kunnen aanvallers geld overboeien, facturen vervalselen, klantgegevens stelen, of systemen platleggen.
In onze praktijk zien we regelmatig dat ondernemers hun wachtwoorden maar twee keer veranderen per jaar, e-mailaccounts van jaren geleden nog actief hebben en cloudopslag vol staan met vertrouwelijke info zonder noemenswaardige toegangscontrole. Zo'n omgeving is niet interessant voor cyberspecialisten, maar perfect voor een goedkope AI-agent. Het algoritme slaat uiteindelijk ergens in.
Wat aanvallers echt doen
De zaak in dit onderzoek is illustratief. Er werd DeepSeek gebruikt, een goedkoop AI-model, aangestuurd via Claude Code. De totale investering was miniem. De aanvaller probeerde gewoon massaal, zonder veel selectie. Het was gooien en kijken wat er vast komt te zitten.
Dit verschilt fundamenteel van een gerichte spionageoperatie. Daar denkt iemand echt mee. Hier zet iemand een machine los en wacht op hits. Dat maakt het voor kleinere bedrijven eigenlijk gevaarlijker: je hoeft niet gevoelig te zijn, je hoeft alleen maar zwakker beveiligd te zijn dan het gemiddelde.
Dit kun je morgen al doen
Je hebt geen miljoenenbegroting nodig. Er zijn drie dingen die je nu vandaag kan checken:
Eerst: welke accounts hebben jij en je team die nog actief zijn maar eigenlijk niet meer gebruikt worden? Een oud Google-account van je vorige marketeer? Je oude hosting-account? Dit zijn open deuren. Zet die dicht. Verwijder de accounts of verander de wachtwoorden.
Twee: authenticatie. Je mail, je cloud, je banking. Alles moet een extra beveiligingsstap hebben. Niet per se iets ingewikkelds, maar meer dan alleen een wachtwoord. Een code op je telefoon is genoeg.
Drie: wachtwoorden. Die ene die je overal gebruikt, of die die bestaan uit je geboorteplaats en huidig jaar. Stop daar. Gebruik een wachtwoordmanager. Dat kost je 50 cent per maand en spaart je weken kopzorgen.
De praktijk laat zien dat het werkt
We begeleidden onlangs een makrotiefe aannemer van 12 man die ontdekte dat iemand via hun hostingpaneel in hun emailsysteem zat. Ze voelden niks ervan tot een klant 'op hun mailadres' naar hen retourneerde. Eerst schrok de eigenaar: moeten we alles herbouwen? Nee. Ze verwijderden drie slecht beveiligde gebruikersaccounts, zetten twee-staps-verificatie in, en gingen voorbij. Het kostte een halve dag werk en wat frustatie. Ze waren weer veilig.
Dat is het verschil met een echte ransomwarecrisis. Daar ben je weken uit productie. Dit soort preventie kost wat voorkant-inspanning, maar niets dramatisch.
Wat nu
AI-inbrekers worden niet minder, ze worden meer. Zeker nu ze zo goedkoop zijn geworden. Dus de vraag is niet of je ze tegenkomt, maar of je klaar bent als het gebeurt. Die voorbereiding hoeft niet complex te zijn. Het hoeft ook niet duur te zijn.
Als je wilt weten hoe echt jouw systemen ervoor staan en wat het minimumaanvalsplan is voor jouw bedrijf: we helpen je dat uit te zoeken. Binnen 48 uur een eerlijke inschatting. Geen getuis, geen onzin. Kijk op stolksupport.nl.
