Van Brazilië tot de Verenigde Staten, van het Verenigd Koninkrijk tot de Europese Unie, is ransomware halverwege het decennium uitgegroeid tot een soort 'parallelle economie' van digitale criminaliteit: het organiseert zich als een dienst, besteedt stappen uit en maakt misbruik van de afhankelijkheid van bedrijven en overheden van verbonden systemen. De nieuwigheid zit hem niet in de encryptie zelf, maar eerder in de manier waarop afpersing wordt gecombineerd met snellere operaties, meer gestolen data en het toenemende gebruik van kunstmatige intelligentie om kosten te verlagen en het bereik te vergroten.
Het rapport 'Threat Landscape 2025', gepubliceerd door ENISA – het cyberbeveiligingsagentschap van de EU – classificeert kunstmatige intelligentie (AI) als een van de bepalende elementen van het huidige dreigingslandschap. Het rapport benadrukt dat door AI aangedreven phishingcampagnes een groot deel uitmaken van de social engineering-initiatieven die vorig jaar zijn waargenomen. De praktische impact is direct: overtuigendere teksten, taalaanpassing aan het profiel van het slachtoffer, automatisering van het testen van benaderingen en een verlaging van de operationele kosten van de aanval.
AI vervangt de menselijke operator bij ransomware-aanvallen niet volledig, maar vermindert wel de inspanning in stappen die voorheen tijd en handmatige vaardigheden vereisten. Taalmodellen worden gebruikt om zeer gepersonaliseerde e-mails te genereren, geëxfiltreerde data te analyseren om gevoelige informatie met het grootste potentieel voor misbruik te identificeren, en onderzoek naar kwetsbaarheden te ondersteunen. Het Britse National Cyber Security Centre heeft al gewaarschuwd dat AI de efficiëntie, frequentie en schaal van bestaande tactieken vergroot, met name bij verkenning en geassisteerde exploitatie.
De rol van AI-agenten
De belangrijkste vooruitgang zit echter in het gebruik van agentgebaseerde architecturen. In tegenstelling tot een model dat alleen tekst genereert, zijn agents systemen die taken kunnen plannen, externe tools kunnen aanroepen, met API's kunnen communiceren en de context over meerdere fasen heen kunnen behouden. Wanneer ze in legitieme bedrijfsomgevingen worden toegepast, automatiseren deze agents interne processen, integreren ze systemen en verminderen ze operationele frictie. Vanuit een offensief perspectief kan dezelfde logica worden gebruikt om gedistribueerde acties te coördineren.
Een gestructureerde aanval kan bestaan uit één agent die zich richt op het verzamelen van openbare en interne informatie, een andere op het valideren van inloggegevens en het misbruiken van buitensporige machtigingen, en een derde die verantwoordelijk is voor het beheren van API's van cloudservices om resources, tokens en toegangssleutels in kaart te brengen. Vanaf de initiële inbraak versnelt automatisering de laterale verplaatsing en data-exfiltratie. Het resultaat is een verkorting van de cyclus tussen compromittering en afpersing.
In Brazilië beschrijven CTIR Gov-waarschuwingen sinds 2022 de opkomst van groepen zoals BlackCat/ALPHV, die opereren met laterale verplaatsingstechnieken en aangepaste encryptie. Wat nu verandert, is de extra laag intelligente automatisering, in combinatie met de toenemende acceptatie door bedrijven van API-gebaseerde integraties, serviceaccounts en geautomatiseerde workflows.
Deze convergentie vergroot het risico. Elke integratie voegt referenties, tokens en machtigingen toe. Elke bedrijfsagent met operationele autonomie vertegenwoordigt een nieuwe machine-identiteit. Indien deze elementen gecompromitteerd worden, kunnen ze ogenschijnlijk legitiem handelen binnen de omgeving. Het onderzoek verschuift van de simpele vraag "wie had er toegang toe?" naar de vraag "welk systeem heeft een bepaalde actie uitgevoerd en via welke beslissingsketen?".
Vanuit technisch oogpunt vereist het reageren op deze nieuwe bedreigingen een ingrijpende herziening van de architectuur. Zero-trust-modellen, gedetailleerde segmentatie en strikte controle van machine-identiteiten worden prioriteit. Privilegebeheer moet serviceaccounts en geautomatiseerde integraties omvatten. Logboeken moeten worden gecentraliseerd en beschermd tegen manipulatie, waardoor gedragsanalyse mogelijk is op basis van opeenvolgende gebeurtenissen en niet alleen op geïsoleerde waarschuwingen.
Onveranderlijke back-ups blijven een fundamentele maatregel tegen encryptie, maar ze lossen het reputatieprobleem dat ontstaat door afpersing via datalekken niet op. Continue monitoring van datalekken en duidelijke procedures voor incidentrespons zijn nu geïntegreerd in de strategische planning.
De implementatie van kunstmatige intelligentie in bedrijven is op zich niet het probleem. Integendeel, het kan de detectie en respons versterken wanneer het op een gestructureerde manier wordt toegepast. Het risico ontstaat wanneer systemen met te veel bevoegdheden werken, integraties worden doorgevoerd zonder adequate inventarisatie en geautomatiseerde beslissingen geen traceerbaar spoor hebben.
Ransomware is geëvolueerd van een technische aanval naar een gestructureerd economisch model. De integratie van AI en autonome agenten versnelt deze ontwikkeling, verlaagt de kosten voor criminelen en verhoogt de complexiteit voor bedrijven, die hun verdedigingsstrategieën voortdurend moeten bijsturen. De strategische prioriteit ligt bij het beheren van identiteiten, API's en algoritmen met dezelfde strengheid als fysieke en financiële activa.
Bedrijven die AI en automatisering als een centraal onderdeel van hun risicobeheer beschouwen, zullen beter voorbereid zijn op de volgende golf. Degenen die AI alleen als een productiviteitstool zien, zullen er wellicht te laat achter komen dat autonomie zonder controle ongemerkt, maar wel doorslaggevend, de risico's vergroot.
