Gepubliceerde CVE's wereldwijd — 12-maands rolling som (L12M)
L12M rolling (12-maands voortschrijdende som per maand) toont de continue versnelling: van 30.949 eind 2023 via 40.704 eind 2024 en 49.972 eind 2025 naar 101.078 eind oktober 2026 (+107,4% vs. oktober 2025: 48.747) — voor het eerst meer dan 100.000 CVE’s in twaalf maanden. Geen enkel jaar vertoont een omkering; de afstand tot de grijze lijn (een jaar eerder) groeit sinds februari 2026 elke maand — in 2025 en in januari 2026 kromp die afstand nog wel (april t/m juli, oktober en november 2025, en januari 2026). Oktober 2026 is met 17.481 CVE’s = 564/dag de drukste maand ooit gemeten, 16,0% boven september (15.074 / 502 per dag). De dagen 1–26 sommeren opnieuw exact tot 14.693 — dezelfde stand als op 27 oktober, dus geen naijlende bijstelling; de laatste vijf dagen (27–31 oktober) leverden 2.788 CVE’s = 558/dag. Bulkdag-caveat: de drie grootste dagen waren 13 okt 2.308 (patchdinsdag), 20 okt 1.932 en 6 okt 1.018; zónder die drie resteert 437/dag over 28 dagen, tegen 409/dag voor september op dezelfde manier gerekend. De indicatie van v7.9 (≈17.500, lineair doorgetrokken na 26 dagen) kwam vrijwel exact uit: 17.481 gemeten, 0,1% eronder; die van v7.8 (≈17.800, na 14 dagen) lag 1,8% te hoog. Na drie halverwege-de-maand-prognoses die te laag uitvielen (juli 14%, augustus 8%, september 7%) is dat de eerste die aan de hoge kant zat · eigen telling NVD publieke feed, 2 november 2026; de maanden november 2025 t/m september 2026 opnieuw opgevraagd en identiek, oktober van lopende naar volledige maand; op 9 november alle twaalf venstermaanden opnieuw opgevraagd en identiek.
Laatste 12 maanden (L12M) — november 2025 t/m oktober 2026 (12 complete maanden) LIVE · ROLLING 12M · PEILDATUM 9 NOV 2026
L12M (Last-12-Months / rolling 12 mnd) rekent vanaf nu 365 dagen terug. Vergelijkingscijfer vorige L12M = november 2024 – oktober 2025. Het venster is op 2 november een maand opgeschoven; de sparklines tonen dertien punten: oktober 2025 als aanloop en daarna de twaalf venstermaanden. November 2026 is de lopende maand (1–8 november geteld): hij staat alleen als tekst in de kaarten en telt nog niet mee in het venster of de sparklines. Zie rij 2 voor de YTD- en jaartotaal-2025-weergave.
2025 — officiële kalenderjaar-cijfers (ter vergelijking) YTD 2026 (1 jan – 31 okt) waar relevant vermeld op de kaart
Datalekmeldingen bij Autoriteit Persoonsgegevens Stijgend
Van 25.694 (2023) via 37.839 (2024) naar 39.407 (2025) — +53% in twee jaar; de groei vlakt in 2025 af tot +4%. Bronnoot (v7.0): het AP-jaarverslag 2025 (2 april 2026) noemde nog 44.374 meldingen; de Rapportage datalekken 2025 (8 juli 2026) corrigeert dat na opschoning naar 39.407. Dit dashboard volgt de gecorrigeerde reeks; eerdere edities toonden het ongecorrigeerde jaarverslagcijfer. Deel van de stijging in 2024 komt door bulkmeldingen: 5.407 meldingen na de ransomware bij klantcommunicatiebedrijf AddComm in mei 2024.
Cyberaanval-gerelateerde datalekken Sterk stijgend
Het aantal datalekken als direct gevolg van een cyberaanval groeide volgens de AP van 1.309 (2023) via 1.537 (2024 — door de AP herzien; exclusief de 5.407 AddComm-bulkmeldingen, inclusief die telt 2024 6.944) naar 2.428 (2025): +17% in 2024, +58% in 2025 en +85% over de hele periode 2023–2025. In 2022 lag het aantal met 1.825 nog hoger dan in 2023 (de Rapportage 2022 zelf noemt 1.826; hier is de latere Rapportage 2023 gevolgd). Het aandeel cyberaanvallen in alle datalekmeldingen steeg van 4,1% (2024) naar 6,2% (2025). v7.0: de reeks is herzien na live verificatie van de AP-rapportages 2022–2025; eerdere edities toonden 1.208 / 1.430 / 2.219.
Ransomware-incidenten Nederland (Project Melissa) Dalend
Het aantal zichtbare ransomware-incidenten dáált (147 → 121 → 92), maar de betalingsbereidheid steeg van 18% (2023) naar 29% (2024) (10 resp. 13 betalende slachtoffers) en de impact per incident neemt toe. Bij MKB wordt slechts 10–15% van de aanvallen zichtbaar; het werkelijke aantal ligt hoger. Telconventie (v7.0): de bron formuleert voorzichtig ("naar schatting 121", "vermoedelijk 92"); 2024 = 101 via politie + 45 via IR-bedrijven met 25 overlap; 2025 = 65 via politie + 40 via IR-bedrijven met 13 overlap (52 + 27 + 13 = 92). Het 2023-cijfer (147) betreft alleen bedrijven met meer dan 100 fte en is daardoor niet één-op-één vergelijkbaar. Eerdere edities toonden voor 2025 "≤ 105" en voor 2024 alleen de 76 politie-aangiftes zonder overlap.
Zero-days wereldwijd actief uitgebuit (Google GTIG) Gestabiliseerd
Over 2022–2025 beweegt het jaarlijks actief uitgebuite aantal zero-days tussen 63 en 100 — dat is de spreiding van de vier jaarcijfers die GTIG zelf publiceert (63 · 100 · 78 · 90), niet een door GTIG genoemde bandbreedte; voor 2021 noemde GTIG elders 106, dus buiten deze vier jaren houdt die spreiding geen stand. 2025 toont een herstel (+15%) na de dip van 2024. 43 van de 90 (≈48%) 2025-zero-days raakten enterprise-producten (VPN, firewall, virtualisatie); GTIG noemt browser-exploitatie in 2025 een historisch dieptepunt (zonder daarbij een jaarreeks te publiceren) en commerciële spyware-leveranciers waren voor het eerst vaker de bron dan statelijke spionagegroepen. v7.0: de jaren 2020–2021 (eerder 30 en 58) zijn weggelaten — die waarden staan niet in de huidige GTIG-teksten, die 2021 bovendien ooit als recordjaar (106) noemden en later 2023 (100) als record. GTIG stelt oudere jaren bij: de 2024-review noemde 98 (2023) en 75 (2024), de 2025-review 100 en 78; getoond is de stand uit de 2025-review van 5 maart 2026.
Samengestelde trend-index (2023 = 100) Opwaarts
Alle categorieën geïndexeerd op 2023 = 100 (index = jaarwaarde gedeeld door de 2023-waarde × 100, afgerond; de onderliggende jaarcijfers staan in de grafieken hierboven). Duidelijk zichtbaar: cyber-datalekken en CVE's stijgen fors, datalekmeldingen als geheel vlakken in 2025 af, zero-day-uitbuiting is gestabiliseerd, en gerapporteerde ransomware daalt (terwijl impact per incident toeneemt). Alleen het punt "2026 prog." voor CVE's is een projectie.
GHSA vs NVD — maandtellingen 2023 – 2026 Open-source versnelt
GHSA bevestigde kwetsbaarheden (oranje, schaal rechts) — door GitHub Security Team geverifieerd — groeien sneller dan NVD-CVE's (blauw, schaal links). De jaargroei vlakte af in 2024-2025 (±0%), maar maart–juni 2026 plateaude de telling op > 1.500/mnd (mrt 1.640 · apr 1.585 · mei 1.705 · jun 1.651) door geautomatiseerde detectie van npm-typosquatting; juli (1.409), augustus (867) en september (952) tonen de afkoeling, oktober (1.212) een lichte opleving — al is die afkoeling na elke hertelling minder scherp dan hij leek. 2026 YTD ratio GHSA/NVD: 13,3% (12.278 / 92.319; kalenderjaar 2025: 7,4%) — eigen telling via GitHub Advisory Database (reviewed-only selectie).
▲ Oktober 2026 is de laatste volledig gemeten maand: NVD 17.481 = 564/dag (nieuw record, september 15.074) · GHSA 1.212. De NVD-maanden november 2025 t/m september 2026 reproduceerden bij hermeting op 2 november alle elf exact, en op 9 november reproduceerden alle twaalf venstermaanden opnieuw. GHSA blijft naijlen: sinds 15 september ging juni van 1.540 naar 1.651, juli van 1.362 naar 1.409, augustus van 796 naar 867 en september van 903 (1 oktober) via 947 (15 oktober) en 951 (2 november) naar 952 (9 november); tussen 2 en 9 november kwamen er in juni t/m september nog 42 bij, waarvan 37 in juni (v7.10: +14 in zes dagen, v7.9: +8 in twaalf dagen). Behandel de twee jongste GHSA-maanden daarom altijd als ondergrens.
GHSA per ecosysteem — L12M nov '25 – okt '26 (geteld 9 november 2026) npm domineert
Van de 12.908 advisories die op 9 november 2026 in het L12M-venster nov '25 – okt '26 stonden (dezelfde crawl als de KPI-kaart, dus donut en KPI sluiten exact aan), is npm goed voor 29,3% (3.784). PyPI (21,0% · 2.713), Go (18,5% · 2.392) en Composer (12,3% · 1.593) completeren de top-4; Maven volgt met 8,7% (1.127). NuGet (.NET, 3,2% · 418) is relevant voor de Microsoft-stack die ook onder HiX-EPD draait. v7.10: met de vensterverschuiving is de donut opnieuw geteld met een volledige doorloop van alle advisories met publicatiedatum 1 november 2025 t/m 31 oktober 2026, in dezelfde run als de maandtellingen van de KPI-kaart (2 november: 12.866 — npm 3.780 · PyPI 2.707 · Go 2.389 · Composer 1.593 · Maven 1.100 · NuGet 416; op 9 november opnieuw geteld: 12.908, de 42 naijlers zitten vooral bij Maven (+27)). Het vorige venster (okt '25 – sep '26) gaf op 27 oktober 12.024 (npm 3.369 · PyPI 2.400 · Go 2.258 · Composer 1.619 · Maven 1.147 · NuGet 376). Per advisory telt het ecosysteem van de eerst genoemde kwetsbaarheid.
Top-10 CRITICAL GHSA-advisories — de tien jongste met CVSS 10.0 (snapshot 2 september 2026, venster sep '25 – aug '26)
Op een smal scherm: veeg horizontaal door de tabel.
| Datum (publicatie in de GitHub Advisory Database) | ID | Package | Type |
|---|---|---|---|
| 2026-08-21 | GHSA-x2rj-828p-hx9m | PyPI: xinference | RCE via onveilige eval() in de Llama3 tool-call-parser (AI-inferentieserver) |
| 2026-08-18 | GHSA-7pwq-q9jf-539h | RubyGems: kobako | Sandbox-ontsnapping → RCE op de host |
| 2026-08-17 | GHSA-m5w8-4gq2-6f8x | npm: vm2 | Sandbox-lek: builtin: ['*'] ontsluit os/dns procesbreed |
| 2026-07-31 | GHSA-p849-8hwh-84j9 | npm: @nocobase/plugin-notification-in-app-message | SQL-injectie → RCE als PostgreSQL-superuser |
| 2026-07-30 | GHSA-2956-977x-2w3r | PyPI: flyto-core | Willekeurig bestanden schrijven via image.download |
| 2026-07-29 | GHSA-4p3g-4hcj-wpvx | Go: prebid-server | Request forgery → uitlekken van hostomgevingsdata |
| 2026-07-24 | GHSA-f25v-x6vr-962g | Composer: pheditor/pheditor | Authenticatie-bypass in de wachtwoordwijzigingsflow |
| 2026-07-24 | GHSA-w28w-gp39-m4p6 | npm: @prompty/core | Server-side template injection (Nunjucks) → RCE (LLM-prompttooling) |
| 2026-07-10 | GHSA-m5f5-28qr-9g9r | Composer: prestashop/ps_facetedsearch | PHP object injection in de zoekcache, zonder authenticatie |
| 2026-07-08 | GHSA-v5px-423j-pf7p | Go: nuclio | Command injection via ongefilterde cron-trigger-headers |
Conclusie: is er een stijgende lijn?
Ja — voor verreweg de meeste indicatoren loopt de curve op. De antwoorden verschillen echter per categorie:
↑ Duidelijk stijgend
- Datalekmeldingen AP (+53% over 2023-2025; in 2025 afgevlakt tot +4% — gecorrigeerde AP-reeks)
- Cyberaanval-datalekken (+85% in twee jaar: 1.309 → 2.428)
- Wereldwijde CVE-publicaties (+61% in twee jaar: 30.949 in 2023 → 49.972 in 2025; +107,4% over de laatste 12 complete maanden)
- Betalingsbereidheid ransomware (18% → 29%)
↔ Gestabiliseerd / volatiel
- Zero-days wereldwijd (78 → 90; gemeten spreiding 2022–2025: 63–100)
- Aandeel cyberaanvallen in datalekken (4,1–8,6% over 2022–2025)
- Aantal unieke ransomware-families (39 in 2025)
↓ Dalend (in aantal)
- Zichtbare ransomware-incidenten NL (147 → 121 → 92)
- Browser-zero-days (GTIG noemt 2025 een historisch dieptepunt, maar publiceert hierbij geen jaarreeks)
- AP-boetes (6 in 2024 → 4 in 2025)
Sleutelincidenten Nederland — L12M-venster (november 2025 – oktober 2026), geregistreerd t/m 9 november
85 NL-rakende incidenten: 84 uit het L12M-venster november 2025 – oktober 2026 plus één rij uit de lopende maand november (t/m de ochtend van 9 november), gesorteerd nieuw → oud op de datum van eerste registratie in de bronregisters (Security.NL, DataLekt.nl, NOS); rood = keten/systemisch, geel = overige marquee-rijen, ongekleurd = wel geregistreerd, niet in de marquee. Stand v7.11: 14 rood, 16 geel, 55 ongemarkeerd = 85 rijen; 25 punten op de tijdlijn (nov '25 – okt '26). Van de zes oktoberrijen halen de PHP2Shell-dag (21 oktober) en Albert Heijn/Ahold Delhaize (rood) en de DDoS-aanval op DigiD van 30 oktober (geel) de marquee; alle drie staan sinds v7.10 op de tijdlijn. De novemberrij (koelsystemen, 2 november; rood) haalt de marquee ook, maar komt pas op de tijdlijn als november compleet is.
Sorteerregel, selectiecriterium, marquee-criterium en toelichting per editie
85 NL-rakende incidenten (stand v7.11; 84 in v7.10, 82 in v7.9, 81 in v7.8, 80 in v7.6/v7.7, 77 in v7.4/v7.5), gesorteerd nieuw → oud op de datum van eerste registratie in de bronregisters (Security.NL, DataLekt.nl en — tot v6.7 — Cybercrimeinfo; een darkweb-claim telt dus op de datum waarop hij in die registers verscheen, niet op de claimdatum zelf — rijen zonder dag staan onderaan het blok van hun maand). Het aantal 85 telt rijen: daaronder 3 vervolgmeldingen (ChipSoft 1 en 13 jun, Ministerie van Financiën 19 jun), 2 gecombineerde rijen en 1 referentiecase van buiten het venster (Clinical Diagnostics). De tabel valt sinds v7.4 samen met het L12M-venster van de KPI's (november 2025 – oktober 2026; bij elke vensterverschuiving vallen de rijen van de oudste maand eruit — in v7.10 gemeente Eindhoven, 23 oktober 2025); sinds v7.6 staan de eerste dagen van de lopende maand er al bij (in v7.11: 1–8 november). Let op bij DataLekt.nl: de site toont sinds eind september voor veel incidenten — ook voor incidenten uit augustus — dezelfde datum 29 september; die datum is daarom niet als registratiedatum gebruikt. Waar alleen DataLekt een nieuw incident meldt en de dag niet anders vast te stellen is, staat de rij zonder dag. Uitzondering: de ransomware-claim op All Steel Products staat op de claimdatum (31 augustus), omdat de registratiedag niet vast te stellen is en de claim niet in september kan worden geplaatst zonder te gissen. Selectiecriterium tabel (vast sinds v7.0): een incident bij een benoemde organisatie of dataset met Nederlandse betrokkenen, in de categorieën datalek, ransomware/afpersing, hack of uitval van een primaire dienst — plus, sinds v7.0, OPSEC-/privacy-incidenten zonder datalek bij een benoemde organisatie (gelabeld in de kolom Type). Buiten de tabel blijven infrastructuursignalen zonder benoemde organisatie (bijvoorbeeld "een dozijn NL vCenter-servers gehackt"). Aangevuld in v7.11: wél opgenomen wordt een aanval via een benoemde leverancier of component waarbij een primaire bron (de leverancier zelf of een overheidsinstantie) een aantal getroffen Nederlandse organisaties noemt — een geval als het vCenter-voorbeeld telt dus mee zodra zo'n bron het aantal noemt (zie "Toepassing in v7.11"). Marquee-criterium (tijdlijn hierboven, 25 punten): een tabelrij haalt de marquee als (a) het incident systemisch/keten is — één leverancier of component met doorwerking bij meerdere organisaties, of landelijke uitval — óf (b) ten minste 10.000 betrokkenen of records zijn bevestigd of geclaimd, óf (c) de rijksoverheid of een landelijke publieke voorziening is geraakt met een bevestigd datalek of uitval van primaire dienstverlening. Toepassing van dit criterium bij het vastleggen in v7.0: erbij Pararius (400.000, claim), HotelsInNederland.nl (287.000), Secureholiday (41.577), DigiD/Logius (landelijke uitval) en CJIB (rijksoverheid, datalek); eraf Van Mossel en Best Western (aantal onbekend), gemeente Eindhoven (1.000 documenten, geen rijksoverheid) en Lidl (datalek via een IT-dienstverlener, maar doorwerking bij één organisatie en aantal onbekend — geen a, geen b). Daarnaast is de gebundelde dot "Hotels + leerlingen" teruggebracht tot alleen de onderwijsleverancier: de 100+ NL-hotels halen het criterium niet, want de gemeenschappelijke component is door het getroffen hotelconcern Hospecs vermoed maar niet bevestigd, en "duizenden gasten" haalt de drempel van b niet. Om dezelfde reden blijven UMC Utrecht (leverancier, één organisatie, 5.000) en Thialf (aantal onbekend) buiten de marquee. Toepassing in v7.1 (september): van de zeven nieuwe rijen haalt alleen Polarsteps de marquee, op grond van b (meer dan 23 miljoen gebruikers, geclaimd door de onderzoekende journalisten en niet weersproken op het aantal — Polarsteps weerspreekt de kwalificatie datalek, niet de omvang). Niet in de marquee: Huisartsencentrum Klein Iterson (medische data en BSN, maar aantal onbekend en geen keten of landelijke voorziening), ISD Brabantse Wal (2.542 cliënten, intergemeentelijk en geen landelijke voorziening — het naaste twijfelgeval op c), Androidworld.nl (ruim 5.000), ROBBshop.nl, RentRunner en Voordeeluitjes.nl (aantallen onbekend). De onderwijsleverancier (8 jun) staat, anders dan in v6.7, als tier-1 keten: één leverancier met data van scholen door het hele land. Bewust beoordeelde twijfelgevallen, niet opgenomen: Canvas/Instructure (platform met veel NL-onderwijsinstellingen, maar NL-doorwerking niet gekwantificeerd), Arriva + 27 organisaties (defacement: geen datalek en geen uitval van primaire dienst), NL-universiteiten (DDoS-claims, geen bevestigde uitval), Justitiële ICT/JIO (rijksoverheid, maar geen bevestigd datalek), bewindvoerders (meerdere kantoren, aantal onbekend) en — nieuw in september — Dustin (3 sep: ernstig it-securityincident bij de IT-leverancier, systemen offline, maar in de opgehaalde berichtgeving wordt geen enkele Nederlandse afnemer of NL-doorwerking benoemd) en de Accellion-publicatie van Shell-bestanden (1 sep: darkweb-publicatie van data die in 2020 bij Accellion is gestolen — geen nieuwe inbraak, geen aantal betrokkenen; niet te verwarren met de Cl0p-claim op Shell van 13 augustus, die een ander incident is). Toepassing in v7.4 (tweede helft september): van de vier nieuwe rijen halen er twee de marquee. De Citrix-keten op grond van a: één component (Citrix NetScaler) met doorwerking bij meerdere organisaties — patiëntomgevingen van meerdere ziekenhuizen tijdelijk uit voorzorg offline en meerdere Rijksoverheidspartijen mogelijk getroffen. Een inbraak is in de geraadpleegde bronnen niet bevestigd; dat voorbehoud staat in de rij, en de marquee berust hier op de doorwerking, niet op een bevestigd datalek. DA op grond van b: 236.000 klanten, bevestigd door een woordvoerder. Niet in de marquee: Leef.nl en All Steel Products (aantallen onbekend). Bewust niet opgenomen: Kwebler (datalek bij een christelijk socialmediaplatform, alleen via DataLekt.nl met de eigen mededeling van Kwebler als bron; maand van het incident niet vast te stellen), de diefstal van laptops bij de gemeente Doetinchem (diefstal van hardware door een medewerker; de bron meldt niet of er gegevens op stonden), Flink (afpersing van klanten na een hack; de toen geraadpleegde berichtgeving was Duits en noemde geen Nederlandse betrokkenen — in v7.6 gecorrigeerd: de NOS-berichten van 25 en 30 september noemen de Nederlandse klanten expliciet (claim 1 mln klanten; Flink heeft 1,5 mln NL-klanten); nu marquee-rij van 25 september) en de hack van de DIVD via zerodays in Zammad (voor het eerst geregistreerd in Security.NL op 1 oktober; sinds v7.6 als rij opgenomen). DigiD (DDoS, 23 maart) telt als uitval: de authenticatiedienst was meerdere uren verminderd beschikbaar; de storing van 2 oktober (oorzaak onbekend, deel van de gebruikers) staat wel in de tabel maar niet in de marquee. Rijkleur in de tabel: rood = tier-1 keten/systemisch (marquee) inclusief de vervolgmeldingen van die incidenten en de referentiecase Clinical Diagnostics; geel = overige marquee-rijen inclusief vervolgmeldingen; ongemarkeerd = wel geregistreerd, niet in de marquee. Toepassing in v7.9 (16–27 oktober): één nieuwe rij, de PHP2Shell-dag van 21 oktober, haalt de marquee op grond van a én c: één component (twee kritieke PHP-lekken) met doorwerking bij tal van Nederlandse organisaties tegelijk (alleen al ruim honderd overheden via Notubiz, 13 van de 25 veiligheidsregio's, negen ziekenhuizen, media, sport en politieke partijen), en landelijke publieke voorzieningen (DigiD, MijnOverheid, Overheid.nl, de Tweede Kamer) die uren uit voorzorg offline gingen. De uitval was preventief en zelfgekozen, geen gevolg van een inbraak; dat voorbehoud staat in de rij, net als bij de Citrix-keten. Bewust beoordeeld, niet opgenomen: de Popcorn Time-updater (het Nederlandse Eye Security schakelde op ruim 2 miljoen pc's wereldwijd een kwetsbare updater uit — een Nederlandse ingreep, geen Nederlands incident bij een benoemde organisatie), de certificaatautoriteit eMudhra (zwakke private keys, wereldwijd; geen Nederlandse getroffene benoemd), het datalek bij ASOS (via DataLekt op 17 oktober; Nederlandse betrokkenheid niet vermeld), het datalek bij de gemeente Midden-Delfland (niet-geanonimiseerde bezwaarmakers rond een azc, via DataLekt op 17 oktober — maar het incident dateert van augustus 2025, vóór het venster) en de uitval van 2 oktober bij DigiD blijft buiten de marquee. Toepassing in v7.10 (27 oktober – 2 november; vensterverschuiving): oktober is compleet, dus Albert Heijn/Ahold Delhaize (12 oktober, criterium a) en de PHP2Shell-dag (21 oktober, a én c) staan nu als tier-1-punten op de tijdlijn; gemeente Eindhoven (23 oktober 2025, ongemarkeerd) valt met de vensterverschuiving uit de tabel. Drie rijen erbij, waarvan één in de marquee. De DDoS-aanval op DigiD van 30 oktober (Logius: 13.22–14.20 uur, een deel van de gebruikers) haalt c: bevestigde uitval van een landelijke publieke voorziening met een bekende cyberoorzaak, net als de DDoS van 23 maart. De storing van 2 oktober (ruim twee uur) bleef buiten de marquee omdat de oorzaak niet is bekendgemaakt; duur is geen onderdeel van het criterium; een duurdrempel zou een ongeschreven regel invoeren. Bitonic (27 oktober): inbraak via een lek in de pdf-uploadfunctie van het verificatiesysteem, vijf klantaccounts overgenomen — geen a, b of c. Revolut (14 september, alsnog): identiteitsbewijzen van 680 klanten, onder wie 36 Nederlanders, uitgelekt na een frauduleus overheidsverzoek — in v7.1 gemist en gevonden via een DataLekt-toevoeging van 29 oktober; geen b (680). De publicatie van de gestolen Shell- en Philips-data door Cl0p (DataLekt.nl 29 oktober) is als vervolg in de bestaande Cl0p-rij van 13 augustus verwerkt, niet als nieuwe rij. Bewust beoordeeld, niet opgenomen: MyMinfin van de Belgische FOD Financiën en Vanden Broele/eSignFlow (Belgische gemeenten), TUI België (volgens DataLekt.nl geen Nederlandse klanten getroffen), Binance, Polymarket, Northflank, ConnectWise en Loxone (buitenlands, geen Nederlandse betrokkenen genoemd), C3rb3r-ransomware op Synology-apparaten van consumenten en de inbeslagname van servers bij een niet bij naam genoemde hoster (geen benoemde organisatie), twee strafzaken met oude feiten (kentekenhandel, KMar-militair) en twee korte storingsmeldingen achteraf in het Logius-archief (DigiD 29 oktober, drie minuten; MijnOverheid in de nacht van 28 op 29 oktober; oorzaak niet vermeld). Toepassing in v7.11 (2–9 november; lopende maand): één nieuwe rij, de aanvallen op koelsystemen van Danfoss bij ten minste zeventien Nederlandse bedrijven (2 november), haalt de marquee op grond van a: één leverancier en één component met bevestigde doorwerking bij meerdere Nederlandse organisaties tegelijk, gemeld door de leverancier zelf. De getroffen Nederlandse bedrijven zijn niet bij naam bekend, en Danfoss is zelf niet gehackt: geraakt zijn klantsystemen die met een standaardwachtwoord aan internet hingen. Opname rekt het selectiecriterium dus op; dat wordt hier expliciet vastgelegd als aanvulling vanaf v7.11: ook opgenomen wordt een aanval via een benoemde leverancier of component waarbij een primaire bron (de leverancier zelf of een overheidsinstantie) een aantal getroffen Nederlandse organisaties noemt. Het voorbeeld "een dozijn NL vCenter-servers gehackt" heeft dezelfde vorm; het verschil is dat hier de leverancier zelf het aantal getroffen bedrijven noemt en de systemen bevestigd zijn gemanipuleerd (temperatuur aangepast) — schade bij Nederlandse bedrijven meldt geen van de bronnen. De C3rb3r-ransomware op Synology-apparaten (v7.10) blijft buiten, omdat het daar om consumenten ging, niet om organisaties. Het naaste eerdere geval is de Fortinet-rij van 18 juni (één benoemd component, doorwerking bij meerdere organisaties, getroffenen niet bij naam, alleen blootstelling) — die toepassing was al ruimer dan de letter van het criterium. Het twijfelpunt is het selectiecriterium, niet de marquee; deze afweging staat hier zodat zij te toetsen is. November loopt; het punt komt op de tijdlijn bij de eerste run van december. Vervolg in bestaande rijen: Albert Heijn/Ahold Delhaize (omzetderving en verlaagde winstverwachting, 4 november) en de referentiecase Clinical Diagnostics (Kamerbrief over lagere deelname, 4 november). Bewust beoordeeld, niet opgenomen: de koelsysteemaanvallen in België (Carrefour, Delhaize), Duitsland en bij de Franse bloedbank EFS (buitenlands; over de bloedbank stelden de CDA-Kamerleden Zwinkels en Poortman wel Kamervragen), DigiCert (id-bewijzen van klanten gelekt; geen Nederlandse betrokkenen genoemd), Chainalysis, DreamHost, mSecure, Binance en Polymarket (buitenlands, geen Nederlandse betrokkenen genoemd), actief misbruik van lekken in OpenSSH, WordPress en Plex ("Plex2Shell") zonder benoemde Nederlandse getroffene, en een korte storingsmelding achteraf in het Logius-archief (MijnOverheid, 4 november 9.27–9.38 uur; oorzaak niet vermeld). Het Cybersecuritybeeld Nederland 2026 (NCSC en NCTV, 6 november) is context, geen incident. Stand v7.11: 14 rood, 16 geel en 55 ongemarkeerd = 85 rijen; 25 punten op de tijdlijn (v7.10: 13/16/55 = 84 rijen, 25 punten; v7.9: 13/15/54 = 82 rijen, 22 punten; v7.8: 12/15/54 = 81 rijen; v7.4/v7.5: 11/14/52 = 77 rijen, 21 punten).
Op een smal scherm: veeg horizontaal door de tabel.
| Datum | Organisatie | Type | Impact |
|---|---|---|---|
| 2 nov 2026 (NOS 12:39) | Koelsystemen (Danfoss) bij ten minste 17 Nederlandse bedrijven (o.a. slagerijen, kleine buurtwinkels en een opslaglocatie voor bevroren producten; namen niet bekendgemaakt) | Hack van via internet bereikbare koel- en vriessystemen — temperatuur op afstand aangepast | Volgens een woordvoerder van leverancier Danfoss tegenover de NOS zijn in de nacht van 1 op 2 november de vries- en koelsystemen van ten minste zeventien bedrijven in Nederland aangevallen, waarbij de temperatuur is aangepast. Het gaat volgens hem om systemen bij onder meer slagerijen en kleine buurtwinkels; grote supermarktketens zijn voor zover bekend niet getroffen. Bij een van de getroffenen, een opslaglocatie voor bevroren producten, stonden de systemen op -10 in plaats van -20 graden. Namen van bedrijven noemt Danfoss niet. De aangevallen systemen stonden volgens de woordvoerder niet op een beveiligd netwerk en hadden een standaardwachtwoord; Danfoss had Nederlandse klanten op 13 oktober geadviseerd de systemen van internet los te koppelen. Daarnaast zijn volgens onderzoeker Kevin Beaumont (via Security.NL 2 november 14:12) bij de aanvallen van 2 november dezelfde kwetsbaarheden gebruikt als in oktober in Frankrijk (Security.NL noemt voor de Franse aanvallen o.a. CVE-2025-41450), en zijn veel kwetsbare installaties end-of-life. Op dezelfde dag werden ook aanvallen op koelsystemen in België (o.a. Carrefour en Delhaize, volgens Delhaize "tientallen winkels"), Luxemburg, Zweden, Ierland en Estland gemeld; in oktober was hetzelfde type aanval in Frankrijk uitgevoerd. Het NCSC zegt de situatie nauwlettend te monitoren en onderzoek te doen, en adviseert koelsystemen niet rechtstreeks aan internet te hangen en sterke wachtwoorden te gebruiken (Security.NL 2 november 17:23). Volgens de NOS is er geen bewijs voor een verband met de aanval op Albert Heijn. Voorbehoud: de getroffen Nederlandse organisaties zijn niet bij naam bekend; het aantal komt van de leverancier. Marquee via criterium a (één leverancier en component met doorwerking bij meerdere Nederlandse organisaties tegelijk — zie "Toepassing in v7.11" in de tabelintro); november is de lopende maand, dus het punt komt op de tijdlijn zodra november compleet is. Bron: NOS 2 november 12:39 (aangepast 14:13); Security.NL 2 november 10:19, 14:12 en 17:23. |
| 30 okt 2026 | DigiD / DigiD Machtigen (Logius) | DDoS-aanval — DigiD voor een deel van de gebruikers ongeveer een uur niet beschikbaar | Volgens beheerder Logius was DigiD door een ddos-aanval deels niet beschikbaar: de storing begon om 13.22 uur en was om 14.20 uur voorbij (storingsarchief Logius: "De dienst is weer volledig beschikbaar"). Een woordvoerder van Logius tegen het AD, via Security.NL: "Door de aanval heeft een deel van gebruikers problemen met de voorziening". Marquee via criterium c: landelijke publieke voorziening met bevestigde uitval van primaire dienstverlening en een bekende cyberoorzaak — zoals de DDoS van 23 maart, anders dan de storing van 2 oktober (oorzaak niet bekendgemaakt). Het criterium kent geen minimumduur; deze uitval duurde ongeveer een uur en raakte een deel van de gebruikers. Bron: Security.NL 30 oktober 14:43; Logius storingsarchief. |
| 27 okt 2026 (Bitonic zelf: 26 okt) | Bitonic (Nederlands bitcoinbedrijf) | Inbraak — overname van klantaccounts en diefstal van bitcoin | Een aanvaller kreeg in het weekend van 25 oktober toegang via een kwetsbaarheid in de pdf-library van de pdf-uploadfunctie van het verificatiesysteem. Security.NL (28 oktober): "Via de kwetsbaarheid wist de aanvaller de accounts van vijf Bitonic-klanten over te nemen. Van drie klanten werd ook bitcoin gestolen. Bij elkaar ging het om een bedrag van zo'n tweehonderd euro, aldus een update over het beveiligingsincident." Bitonic sluit niet uit dat de aanvaller ook persoonsgegevens van andere klanten heeft ingezien; het incident is gemeld bij de AP en de AFM. Geen keten, geen landelijke voorziening, aantal betrokkenen onder de drempel — níet in de marquee. Bron: Security.NL 27 oktober 09:25 en 28 oktober 13:31; nieuwsbericht Bitonic (26 oktober, update 28 oktober). |
| 21 okt 2026 (NOS 11:10; patches 16:00) | PHP2Shell-dag (DigiD · MijnOverheid · Overheid.nl · Tweede Kamer · Belastingdienst · ziekenhuizen · veiligheidsregio's · gemeenten · media) | Twee kritieke PHP-kwetsbaarheden (ongeauthenticeerde RCE) — websites van tal van Nederlandse organisaties — alleen al ruim honderd overheden via Notubiz en 13 van de 25 veiligheidsregio's — uren uit voorzorg offline vóór de patch; op 22 oktober noemde het NCSC "eerste signalen" van succesvol misbruik, op 23 oktober was één niet-bevestigde melding uit het buitenland bekend | Op woensdag 21 oktober haalden organisaties door heel Nederland hun websites uit voorzorg offline wegens twee kritieke kwetsbaarheden in PHP, PHP2Shell genoemd: CVE-2026-109618 en CVE-2026-109619, zonder authenticatie op afstand misbruikbaar voor het uitvoeren van willekeurige code op alle PHP-installaties die webverzoeken verwerken (NCSC-advisory NCSC-2026-0443, 21 oktober 16.01 uur Nederlandse tijd, kans en schade beide hoog). Het bestaan van de lekken was op 20 oktober aangekondigd met een patchmoment op 21 oktober 16.00 uur; volgens een Kamerbrief van minister Van Weel (JenV), door Security.NL gemeld op 23 oktober, informeerde het NCSC organisaties dat informatie over de kwetsbaarheden vroegtijdig was uitgelekt, wat tot het preventief offline halen leidde. Offline gingen onder meer MijnOverheid en DigiD (13.07 uur, Logius), Overheid.nl, de website van de Tweede Kamer, de Belastingdienst, de websites van het NCSC zelf en van de Autoriteit Persoonsgegevens; raadsinformatiesysteem Notubiz (ruim honderd gemeenten, provincies en waterschappen); gemeenten als Zwolle, Maastricht, Den Bosch, Emmen, Maassluis, Eindhoven, Tilburg en Lochem; minstens 13 van de 25 veiligheidsregio's; ziekenhuizen (o.a. Maastricht UMC+, Jeroen Bosch Ziekenhuis, Amphia, Frisius MC, BovenIJ, Rode Kruis Ziekenhuis Beverwijk, St. Jans Gasthuis Weert, Albert Schweitzer Ziekenhuis, St. Antonius); het hoger-onderwijsnetwerk SURF; DPG Media (RTL Nieuws, AD), Tweakers en ANP; de KNVB, de Schiphol-app, Pathé Thuis, de websites van VVD, CDA, D66, BBB, PvdD en andere partijen, Meld Misdaad Anoniem, 113 en Centrum Seksueel Geweld. Rijksoverheid.nl gebruikt geen PHP en werd niet geraakt; Politie.nl bleef bereikbaar. Na de PHP-patches (8.5.12, 8.4.27, 8.3.36 en 8.2.35, rond 16.00 uur) kwamen de meeste sites in de avond terug — MijnOverheid en DigiD om 19.18 uur, de Tweede Kamer om 21.58 uur; Overheid.nl was op de ochtend van 22 oktober nog onbereikbaar. Op 21 oktober zagen het NCSC, CISA en de PHP Foundation nog geen actief misbruik, al meldden Cloudflare, watchTowr en Patchstack aanvalspogingen; op 22 oktober (17.52 uur) meldde het NCSC via de NOS "de eerste signalen" dat misbruik met succes gebeurt — het onderzoek kan volgens het NCSC maanden duren. Volgens NOS-onderzoek draaien minstens 113.000 Nederlandse sites inmiddels een gepatchte versie en zijn circa 145.000 mogelijk nog kwetsbaar. Kamervragen Kathmann (PRO, 2026Z22802; Security.NL 22 oktober) aan Van Weel en staatssecretaris Aerdts (EZK); de minister schreef in die Kamerbrief: "De precieze maatschappelijke impact van deze kwetsbaarheden is op dit moment niet duidelijk." De lekken zijn in augustus 2026 met behulp van AI gevonden (Calif met OpenAI op 11 augustus, Wiz op 24 augustus — zie de contextnoot in de AI-sectie). Vervolg t/m 2 november: in een update van 23 oktober (15.45 uur) schreef het NCSC: "Op dit moment is bij ons één melding bekend van mogelijk misbruik in het buitenland, maar is niet bevestigd dat de aanval ook daadwerkelijk succesvol is geweest." Volgens dezelfde update is de kans op grootschalig misbruik kleiner dan eerder ingeschat. Het Amerikaanse CISA nam beide CVE's op 26 oktober (Amerikaanse datum) op in zijn lijst van actief misbruikte kwetsbaarheden, zonder details over de aanvallen (Security.NL 27 oktober 09:51), en op 28 oktober meldde Palo Alto Networks actief misbruik gericht tegen zijn management-interface (Security.NL 28 oktober 11:28); Nederlandse slachtoffers worden daarin niet genoemd. Op 29 oktober stelde El Boujdaini (D66) Kamervragen over verouderde software bij de overheid naar aanleiding van het PHP-lek (2026Z23405); de vragen van Kathmann (2026Z22802) waren op 2 november nog niet beantwoord. Voorbehoud: een datalek of inbraak bij een Nederlandse organisatie is in de geraadpleegde bronnen niet bevestigd; de uitval was preventief. Marquee via criterium a én c (één component met landelijke doorwerking; landelijke publieke voorzieningen uren uit) — sinds v7.10 (oktober compleet) als tier-1-punt op de tijdlijn. Zie de toelichting "Toepassing in v7.9" in de tabelintro. Bron: NOS 21 oktober 11:10 en 22:54 (update 22 oktober 06:53), 22 oktober 17:52; Rijksoverheid.nl 21 oktober 15:13; Hart van Nederland-liveblog 21 oktober; Security.NL 21 oktober 21:52, 22 oktober 12:35, 23 oktober 11:51, 27 oktober 09:51 en 28 oktober 11:28; NCSC-alert 23 oktober (update 15.45 uur); NCSC CSAF-feed; Tweede Kamer, Kamervragen 2026Z23405 (29 oktober). |
| 12 okt 2026 (incident sinds 11 okt, middag) | Albert Heijn / Ahold Delhaize (ook Etos en Gall & Gall) | Cybersecurity-incident — systemen preventief uitgeschakeld; landelijke uitval van online bestellen, bezorging, websites, apps en klantenservice; bevoorrading deels stil | Albert Heijn, Etos en Gall & Gall kregen volgens Security.NL op zondagmiddag 11 oktober te maken met een cybersecurity-incident (Albert Heijn sprak eerst van een it-incident, moederbedrijf Ahold Delhaize van een cybersecurity-incident) en schakelden verschillende systemen preventief uit: websites, apps en klantenservice waren niet beschikbaar, de logistieke systemen lagen stil, er werden geen online bestelde boodschappen bezorgd en al geplaatste online bestellingen werden geannuleerd. Op 12 oktober lag het werk volgens ceo Versteden-van Duijn tegenover de NOS "in sommige distributiecentra" volledig stil (Security.NL: meerdere; het aantal werd niet genoemd — Albert Heijn heeft er volgens DutchNews zes), wat volgens haar tot lege schappen kon leiden; de elektronische prijskaartjes toonden de actieprijzen van de vorige week en de spaarsystemen (o.a. Mijn Bonus Box, Koopzegels, Air Miles) werkten niet. Op 13 oktober hadden meerdere winkels lege schappen bij versproducten en werkten de handscanners niet. Volgens Security.NL zijn ook ketens van Ahold Delhaize in de Verenigde Staten getroffen; volgens DutchNews meldde ook Delhaize in België it-problemen; volgens beveiligingsbronnen tegenover de NOS (via DutchNews) zijn bij de aanval servers in de VS, Polen, Moldavië en Turkije gebruikt — wat niets zegt over de herkomst — en zijn mogelijk servers van de Amerikaanse tak van Ahold Delhaize betrokken. Op 13 oktober begon het concern met een gecontroleerde herstart; op 14 oktober meldde Albert Heijn nog geen aanwijzingen dat gegevens van klanten of medewerkers zijn gestolen en verwachtte het alle distributiecentra in de loop van de dag weer operationeel; online bestellen was toen nog niet mogelijk. De aard van het incident is niet bekendgemaakt. Het NCSC ziet geen verband met de gelijktijdige aanval op koelsystemen van Franse supermarkten; Albert Heijn handelde volgens de politie conform de meldplicht uit de Cyberbeveiligingswet (meldingen gaan naar het NCSC), maar deed op 14 oktober nog geen aangifte. In de Tweede Kamer stelde D66-Kamerlid El Boujdaini vragen aan staatssecretaris Erkens (LVVN), die opmerkte dat de voedselzekerheid op dit moment gewaarborgd is. Marquee via criterium a (landelijke uitval: online bestellen, bezorging, websites, apps en klantenservice dagenlang landelijk uit bij drie ketens van één concern; ook ketens van Ahold Delhaize in de VS geraakt) — sinds v7.10 (oktober compleet) als tier-1-punt op de tijdlijn. Zie de toelichting "Toepassing in v7.8" in de tabelintro. Vervolg (v7.9): volgens bronnen in de beveiligingswereld tegenover de NOS (13 oktober) lijkt het erop dat de beveiligers van Albert Heijn verdacht aanvalsverkeer zagen binnenkomen en systemen uitschakelden voordat de aanvallers dieper konden doordringen; Albert Heijn deelde informatie over de gebruikte infrastructuur met andere bedrijven. De distributiecentra draaiden op 14 oktober weer, de winkelbevoorrading was op 15 oktober landelijk hersteld, website en Mijn AH-app kwamen op 18 oktober terug en online bestellen ging op 21 oktober stapsgewijs en op 23 oktober voor alle klanten weer open, met ongeveer een derde van de normale bezorgcapaciteit ("aanstaande woensdag", dus 28 oktober, weer normaal); klanten met een geannuleerde bestelling of een bezorgbundel kregen 10 euro tegoed. Ahold Delhaize deed aangifte bij de politie: volgens het eigen mediastatement op 19 oktober ("vandaag", in latere updates "op 19 oktober"), volgens de NOS van 19 oktober "gisteren" (18 oktober) — hier is de datering van de aangever gevolgd; de aangifte volgde na een publieke oproep daartoe van politie en OM in de week ervoor. Het incident was binnen 24 uur bij het NCSC gemeld, zoals de Cyberbeveiligingswet vereist. Op 18 oktober meldde het concern nog steeds "geen aanwijzing dat er persoonsgegevens betrokken zijn" (NOS 19 oktober: geen aanwijzingen dat gevoelige gegevens zijn gestolen); de aard van de aanval is niet bekendgemaakt. Vervolg (v7.11): bij de kwartaalcijfers van 4 november verlaagde Ahold Delhaize zijn winstverwachting: door de aanval loopt het concern in het vierde kwartaal naar verwachting 200 tot 250 miljoen euro omzet mis en valt het bedrijfsresultaat 75 tot 100 miljoen euro lager uit; volgens topman Frans Muller was het grootste deel van de verstoring binnen twee weken onder controle, maar wordt nog gewerkt aan volledig herstel van de normale bedrijfsactiviteiten. Om wat voor soort incident het gaat, is nog altijd niet bekendgemaakt (Security.NL 4 november 10:49). Bron: Security.NL 12 oktober 09:42 en 17:01, 13 oktober 11:04 en 14:56, 14 oktober 09:29 en 16:56; DutchNews 13 oktober; NOS 13 oktober 15:33 en 19 oktober 17:26; AH-mediastatement (updates 12–23 oktober); Security.NL 4 november 10:49. |
| 2 okt 2026 | DigiD / DigiD Machtigen (Logius) | Storing — inloggen voor een deel van de gebruikers niet mogelijk (oorzaak niet bekendgemaakt) | Volgens de storingenpagina van Logius begon de storing om 12.53 uur en was zij om 15.03 uur verholpen ("De dienst is weer volledig beschikbaar", laatste update 17.07 uur); Tweakers meldde dat "een deel van de gebruikers" niet kon inloggen en dat de oorzaak niet bekend is. Geen cyberoorzaak genoemd; opgenomen als uitval van een landelijke voorziening, níet in de marquee (ruim twee uur, deel van de gebruikers, oorzaak onbekend — anders dan de DDoS van 23 maart). Bron: Logius storingen-en-onderhoud, Tweakers (2 oktober 14:04). |
| 1 okt 2026 (DIVD zelf: 24 sep) | DIVD — Dutch Institute for Vulnerability Disclosure | Hack via twee Zammad-zerodays — datalek vrijwilligers- en CSIRT-ticketdata; door DIVD een "agentic AI powered attack" genoemd | Eerste toegang van de aanvaller 21 september, ontdekt en geblokkeerd 22 september, eerste publieke melding 24 september; forensisch onderzoek met Merlon Security, gemeld bij de AP en het NCSC, politie geraadpleegd. Op 30 september maakte het DIVD bekend dat de toegang liep via twee zerodays in ticketsysteem Zammad (CVE-2026-102489, ongeauthenticeerde RCE in 6.3.0–6.5.4, en CVE-2026-102490, rechtenverhoging naar root, nog zonder update); het NCSC (advisory NCSC-2026-0396) meldt actief misbruik sinds 21 september en adviseert met spoed te updaten en logs veilig te stellen. Op 1 oktober bevestigde het DIVD dat in elk geval vrijwilligersgegevens zijn buitgemaakt (DIVD-e-mailadressen, mogelijk contactgegevens) en dat de aanvallers in het CSIRT-ticketsysteem zaten, dat alle correspondentie met de CSIRT-mailbox bevat (behalve de eigen eerste notificaties) — wie met het DIVD-CSIRT heeft gemaild (o.a. over scanresultaten met IP-adressen van kwetsbare systemen, gemelde kwetsbaarheden en gemaskeerde credential-dumps) moet er volgens het DIVD van uitgaan dat de aanvallers die informatie kunnen hebben. Aantal betrokkenen: niet genoemd, onderzoek loopt. Niet in de marquee: geen tweede bevestigd slachtoffer of landelijke uitval (a), geen aantal (b), en het DIVD is een private stichting met een publieke rol, geen rijksoverheid of landelijke publieke voorziening (c) — wel het eerste publiek gedocumenteerde geval in Nederland van een door AI-agents uitgevoerde inbraak met zerodays, bij een partij die zelf kwetsbaarheden van anderen beheert. Bron: Security.NL 1 oktober 09:59; DIVD CSIRT-casepagina DIVD-2026-00014 (statements 24 september – 1 oktober, tijdlijn); NCSC CSAF-feed. |
| 28 sep 2026 | Citrix-keten (Rijksoverheid · ziekenhuizen, o.a. Frisius MC, ETZ, Amphia) | Actief misbruikte lekken in Citrix NetScaler — uitval patiëntomgevingen; inbraak niet bevestigd | Twee actief misbruikte kwetsbaarheden in Citrix NetScaler ADC en Gateway (CVE-2026-88771 en CVE-2026-88772, updates op 27 september) laten ongeauthenticeerde aanvallers het systeem overnemen. Na waarschuwingen van Z-CERT en het NCSC haalden meerdere Nederlandse ziekenhuizen digitale voorzieningen tijdelijk offline: Frisius MC schakelde een aantal digitale voorzieningen uit, het Elisabeth-TweeSteden Ziekenhuis hief de maatregelen rond MijnETZ die het in het weekend uit voorzorg had genomen weer op, en bij Amphia was de patiëntomgeving op 28 september nog offline. In een Kamerbrief van 29 september (op 30 september gemeld door Security.NL) schreef staatssecretaris Van der Burg (BZK) dat CIO Rijk en het NCSC in contact staan met meerdere Rijksoverheidspartijen die mogelijk door de Citrix-kwetsbaarheden zijn getroffen (Security.NL kopt: "Rijksoverheid mogelijk gehackt"); het NCSC had overheidsinstanties geadviseerd Citrix-voorzieningen uit voorzorg van internet af te koppelen, en volgens Google wordt CVE-2026-88772 al sinds begin september misbruikt; het NCSC bracht op 27 september advisory NCSC-2026-0394 uit en adviseert organisaties die hun NetScaler vóór de update aan internet hadden hangen om rekening te houden met een eerdere compromittatie en logging en een geheugendump veilig te stellen. CERT Europe en Greynoise melden webshells na misbruik; Defused en Beaumont melden op 29 september grootschalig misbruik; CISA droeg Amerikaanse overheidsinstanties forensisch onderzoek op, terwijl aanvallers hun sporen wissen. Voorbehoud: een daadwerkelijke inbraak bij een Nederlandse organisatie is in de geraadpleegde bronnen niet bevestigd; er loopt sporenonderzoek, en de staatssecretaris schrijft volgens Security.NL: "Omwille van het onderzoek doe ik hierover geen nadere mededelingen." (Security.NL, 28, 29 en 30 september; NCSC-2026-0394; Kamerbrief 2026Z20447) |
| 25 sep 2026 (NOS 14:07) | Flink (boodschappenbezorger) | Hack / datalek — klanten en medewerkers rechtstreeks afgeperst | Een voorheen onbekende groep (volgens RTL Nieuws LPG Group) claimt bij Flink te hebben ingebroken en benadert klanten en medewerkers met een ultimatum: circa 10 tot 15 euro in cryptovaluta per persoon (0,005 ether) vóór 2 oktober, anders publicatie — of 100 ether (≈238.000 euro) in totaal. De hackers claimen gegevens van een miljoen klanten en 13.000 medewerkers (NOS 25 sep; 30 sep: "meer dan 10.000 medewerkers"); Flink zegt in Nederland anderhalf miljoen klanten te hebben en bevestigt dat criminelen klanten en medewerkers benaderen. Gestolen zouden woonadressen, telefoonnummers, e-mailadressen en bestelgegevens zijn; volgens Flink geen wachtwoorden of financiële gegevens. Volgens Retail News kwamen de aanvallers binnen via gecompromitteerde inloggegevens. Op 30 september was volgens de openbare blockchain nog niemand ingegaan op het ultimatum; op 2 oktober constateerde de NOS dat de deadline zonder betaling verstreek. Experts (Northwave) noemen het rechtstreeks benaderen van individuele consumenten nieuw. Marquee via criterium b (claim ≥ 10.000). Correctie: in v7.4 stond Flink bij "bewust niet opgenomen (geen NL-betrokkenen in bron)" — de NOS-berichten van 25 en 30 september maken de Nederlandse betrokkenheid expliciet. Bron: NOS 25 september 14:07, 30 september 21:54, 2 oktober 18:49. |
| 21 sep 2026 (NOS 18 sep) | DA (drogisterijketen, webwinkel) | Hack / datalek klantendatabase webshop | Onbevoegden kregen begin september toegang tot een database met klantgegevens van de webwinkel: namen, e-mailadressen, telefoonnummers, geboortedata, huisadressen en bestelinformatie (Security.NL noemt daarnaast ip-adressen). Volgens een woordvoerder tegenover de NOS gaat het om 236.000 klanten; alle betrokkenen zijn op 18 september gemaild. DA kon niet vaststellen of de gegevens alleen zijn bekeken of ook gedownload ("Er zijn geen aanwijzingen dat het bestand gedownload is, maar we kunnen het ook niet uitsluiten"). Klanten van de fysieke winkels zijn niet betrokken; gemeld bij de AP. Security.NL (21 september) noemt 256.000, maar verwijst daarbij naar hetzelfde NOS-artikel, dat 236.000 vermeldt — hier is de NOS gevolgd |
| 14 sep 2026 (alsnog opgenomen in v7.10) | Revolut (fintech) | Datalek — identiteitsbewijzen van klanten verstrekt na een frauduleus overheidsverzoek | Revolut lekte identiteitsbewijzen van klanten na een frauduleus verzoek dat zich voordeed als overheidsverzoek (Security.NL 14 september 09:51). Accountant.nl (15 september): "In totaal zijn 680 klanten getroffen door het datalek, onder wie 36 Nederlanders." In v7.1 gemist; gevonden via een toevoeging op DataLekt.nl van 29 oktober (naar Tweakers, niet zelf opgehaald). Níet in de marquee (680 betrokkenen, geen keten, geen overheid). Bron: Security.NL 14 september 09:51 en 15 september 15:34; Accountant.nl 15 september. |
| 11 sep 2026 | Huisartsencentrum Klein Iterson (Gouda) | Hack met datadiefstal — opgeëist door LockBit 5.0 | Medische dossiers van de server gestolen: naam, geboortedatum en in sommige gevallen BSN en contactgegevens. De praktijk spreekt zelf van een digitale inbraak; over versleuteling wordt niets gemeld. De aanval is opgeëist door LockBit 5.0 en er zijn inmiddels gestolen documenten op internet gepubliceerd. De praktijk meldt dat de precieze omvang nog onbekend is; er is dus géén aantal betrokkenen bekendgemaakt |
| 10 sep 2026 | Androidworld.nl | Hack via gehackte Metabase-omgeving | Na een politietip (3 sep) bleek dat een aanvaller op 10 augustus via de gehackte Metabase-omgeving toegang kreeg tot ruim 5.000 accounts: e-mailadressen, gebruikersnamen, profielnamen en wachtwoordhashes. Gemeld bij de Autoriteit Persoonsgegevens; wachtwoorden zijn gereset |
| 4 sep 2026 | ROBBshop.nl (domoticawebwinkel) | Hack / datalek | Mogelijk buitgemaakt: naam, adres, telefoonnummer, e-mailadres, geboortedatum, bestelgeschiedenis, btw-nummer en wachtwoordhashes. Aantal klanten niet bekendgemaakt; gemeld bij de AP, alle wachtwoorden gereset |
| 4 sep 2026 | ISD Brabantse Wal (intergemeentelijke sociale dienst) | Datalek door interne fout (verkeerde enveloppen) | Uitkeringsspecificaties belandden in verkeerde enveloppen; daarin stonden naam, BSN, type uitkering, bankrekeningnummer en betalingsspecificaties. De hele verzendrun betrof maximaal 2.542 cliënten |
| 4 sep 2026 | Polarsteps (NL-reisapp) | Blootstelling via eigen API — kwalificatie als datalek betwist | Journalisten van Follow the Money konden via de API van de reisapp gegevens van meer dan 23 miljoen gebruikers downloaden — volgens het bericht onder meer namen, foto's en informatie over vrienden en familie — ook van reizen die gebruikers alleen met hun volgers hadden gedeeld; elders in het artikel gaat het over het volgen van gps-locaties. Polarsteps ontkent dat het een datalek is en stelt dat het om publiek gedeelde tripdata gaat; het bedrijf heeft de rate limiting aangepast. Geen inbraak en geen ransomware: de data was via de reguliere interface massaal op te vragen. De 23 miljoen is het aantal gebruikers waarvan Follow the Money via de API gegevens kon downloaden; het is daarmee een geclaimd aantal in de zin van marquee-criterium (b), niet een door Polarsteps bevestigd aantal. Polarsteps bestrijdt de strekking: volgens het bedrijf ging het om publiek toegankelijke informatie van profielen die op publiek stonden, en niet om het doorbreken van privacy-instellingen |
| 1 sep 2026 | RentRunner (autoverhuur) | Hack (aanval 9 juli) | Persoonsgegevens uit huurcontracten — naam, contactinformatie en handtekeningen, in sommige gevallen ook kopieën van paspoort of rijbewijs — zijn mogelijk ingezien of gestolen. Aantal betrokkenen onbekend; gemeld bij de AP, de politie en het NCSC |
| 1 sep 2026 | Voordeeluitjes.nl | Hack / datalek boekingssysteem | Onbevoegde toegang tot een deel van het boekingssysteem; mogelijk NAW-gegevens, geboortedata en reisdetails. Geen IBAN- of creditcardgegevens. Aantal betrokkenen onbekend; gemeld bij de AP |
| sep 2026 | Leef.nl (webwinkel) | Datalek externe klantendatabase | Onbevoegden kregen op 4 september toegang tot een externe database met klantgegevens; de technische oorzaak is niet vermeld. Betrokken: namen, contactgegevens, geboortedatums, IP-adressen, bestelhistorie en gekozen betaalmethoden — volgens de webwinkel géén wachtwoorden of betaal- en bankgegevens. Toegang direct geblokkeerd, klanten per e-mail geïnformeerd. Aantal betrokkenen onbekend. Bron: DataLekt.nl, naar Tweakers (Tweakers niet zelf opgehaald); dag van eerste registratie niet vast te stellen. |
| 31 aug 2026 | CJIB (Centraal Justitieel Incassobureau) | Datalek door interne technische fout | Verkeersovertredingen en strafzaken werden door een fout aan verkeerde personen gekoppeld; gebruikers zagen daardoor gegevens van anderen in MijnCJIB, dat wekelijks door ruim 100.000 mensen wordt gebruikt. Digitale loket vrijdag 28 aug gesloten, zondagmiddag 30 aug hersteld. Voorlopige melding bij de AP. Vervolgmelding 4 september: staatssecretaris Van Bruggen (Justitie en Veiligheid) maakt in een brief aan de Tweede Kamer bekend dat 6.000 vorderingen — verkeersboetes, strafzaken en overheidsincasso — aan verkeerde personen waren gekoppeld; tientallen mensen zagen in MijnCJIB gegevens van anderen, en er zijn brieven verzonden aan personen voor wie die niet bedoeld waren (op 31 augustus meldde het CJIB alleen dat er mógelijk brieven met verkeerde informatie waren verstuurd; de Kamerbrief bevestigt dat brieven bij verkeerde personen terechtkwamen — twee verschillende feiten). Oorzaak: een nieuwe release van de koppelsoftware; de gegevens stonden ongeveer 24 uur verkeerd gekoppeld. Het CJIB analyseert de impact, informeert gedupeerden en doet daarna een definitieve AP-melding |
| 31 aug 2026 (claimdatum) | All Steel Products (groothandel hydraulische producten) | Ransomware-claim (LockBit 5.0) | Op 31 augustus 2026 door LockBit 5.0 opgeëist; de groep dreigt gegevens te publiceren als de onderhandelingen mislukken. Geen bevestiging door het bedrijf bekend; oorzaak en omvang onbekend. Bron: DataLekt.nl, naar Dexpose (niet zelf opgehaald). Nieuw in v7.4; de dag waarop DataLekt de claim registreerde is niet vast te stellen, daarom staat de rij op de claimdatum |
| 29 aug 2026 | IJsstadion Thialf (Heerenveen) | Ransomware (The Gentlemen) | Computers versleuteld en gegevens gestolen; losgeld geëist voor herstel én om publicatie op het darkweb te voorkomen. Aard van de data, aantal betrokkenen en operationele impact niet bekendgemaakt (bron: RTL Nieuws via DataLekt.nl) |
| 26 aug 2026 | Mediaservice Maastricht | Ransomware-claim (LockBit 5) | Geclaimd op de darkweb-leaksite; de claim dateert van 11 juli 2026 en werd pas eind augustus geregistreerd. Niet bevestigd door het bedrijf; omvang onbekend |
| 17 aug 2026 | UMC Utrecht (gastenverblijf) | Datalek via externe leverancier boekingssysteem | Inbraak op het boekingssysteem van het gastenverblijf, beheerd door een externe leverancier. Gelekt: naam, geslacht, adres- en contactgegevens, e-mail, telefoonnummer en boekingsinformatie (aankomst-/vertrekdatum) van circa 5.000 mensen — verleden, heden én toekomstige boekingen. Géén medische of financiële gegevens. De leverancier ontdekte de inbraak op 2 augustus; UMC Utrecht werd pas op 6 augustus geïnformeerd en maakte het lek op 17 augustus bekend. Toegangsgegevens zijn opnieuw ingesteld, extra controles en activiteitenregistratie aangezet; melding gedaan bij de Autoriteit Persoonsgegevens. Oorzaak van de inbraak is niet bekendgemaakt. |
| 13 aug 2026 | Cl0p-keten (Shell · Philips) | Ransomware-/afpersingsclaim via supply-chain (PTC Windchill) | Ransomwaregroep Cl0p claimt op de eigen leaksite zowel Shell als Philips te hebben gehackt. Bij Philips zou 13,5 GB aan interne data zijn buitgemaakt (tekeningen, diagrammen, ontwerpdocumentatie); bij uitblijvende betaling dreigt publicatie. Philips stelt de aanvalspoging op één specifieke bedrijfsserver met interne gegevens te hebben geïdentificeerd en onder controle gebracht, zonder impact op klantomgevingen; Shell bevestigt onderzoek te doen naar een incident, verdere details ontbreken. De claims sluiten aan op de campagne die eind juli 2026 bekend werd, waarin Cl0p bedrijven afperst via gehackte PTC Windchill-servers (product-lifecycle-platform) — opnieuw één leverancierscomponent met doorwerking bij meerdere grote organisaties. Aantallen en aard van de data zijn niet onafhankelijk geverifieerd. Vervolg (v7.10): volgens DataLekt.nl (29 oktober, naar het ED — niet zelf opgehaald) heeft Cl0p de gestolen data inmiddels gepubliceerd: "Bij Philips gaat het om 13,5 GB aan tekeningen, diagrammen en blauwdrukken van medische apparatuur, terwijl bij Shell 89 GB aan data is gelekt via ongeoorloofde toegang tot een door een derde partij beheerde clouddienst"; volgens dezelfde bron geven beide bedrijven aan dat er geen gevoelige persoonsgegevens of patiëntdata zijn gelekt. Let op: DataLekt noemt bij Shell als route een door een derde partij beheerde clouddienst; of dat dezelfde PTC Windchill-route is als in de oorspronkelijke claim, staat niet in die bron. |
| 7 aug 2026 | MIVD (directeur) | OPSEC/privacy — openbaar Strava-account (geen datalek) | De directeur van de MIVD, (vice)admiraal Peter Reesink, had een openbaar Strava-account waarop tientallen sportactiviteiten tussen 2018 en 2025 zichtbaar waren; daaruit waren woonadres, camperstalling en vakantieperiodes af te leiden, inclusief fietsritten tussen het MIVD-hoofdkantoor en zijn woning — in strijd met de richtlijnen van Defensie. Reesink zelf zegt dat hij zich er niet van bewust was dat het account nog actief was (app verwijderd, account niet); Defensie laat weten dat hij de gang van zaken betreurt. Het account is na vragen van de Volkskrant op privé gezet en een verwijderverzoek is ingediend. Geen datalek; categorie OPSEC/privacy (nieuw criterium v7.0). Bron: de Volkskrant via Security.NL (7 aug, 16:04) en NOS (7 aug, 18:15) |
| 5 aug 2026 (bol geïnformeerd 1 aug) | CEVA Logistics (bol · de Bijenkorf · ING Punten · Ajax · Ace & Tate · Valve/Steam) | Supply-chain-datalek logistiek dienstverlener (Europese keten) | Cyberaanval bij de fulfilmentpartner van meerdere NL-retailers. Bol werd 1 aug geïnformeerd, meldde 3 aug bij de AP en waarschuwde klanten 5 aug; de Bijenkorf en ING (ING Punten) volgden op 6 aug; Ajax informeerde op 6 aug zijn shop-klanten, schortte de gegevensuitwisseling met CEVA op en deed uit voorzorg AP-melding. Daarna groeide de keten door: Ace & Tate (7 aug) en op 10 aug ook Valve, dat Europese Steam-hardwareklanten van de afgelopen 90 dagen per e-mail waarschuwde. Betrokken: naam, adres, e-mail, telefoon, ordernummer, EAN, track&trace en bestelgegevens — géén betaal- of inloggegevens, wachtwoorden of Steam Guard-codes. Dataset wordt op het darkweb te koop aangeboden (onderzoek RTL Nieuws); volgens diezelfde berichtgeving vond de aanval begin mei 2026 plaats, ruim drie maanden vóór de klantwaarschuwing — CEVA zelf stelt dat het om oude data uit een eerdere hack (2025) gaat. CEVA heeft getroffen systemen geïsoleerd en offline gehaald, extern onderzoek gestart en toezichthouders geïnformeerd. Het lek raakt acht Europese warehouselocaties; bij de Bijenkorf lopen levertijden op tot begin september (NL vanaf 4 sep, BE vanaf 3 sep). Aantal getroffenen nog onbekend; CEVA beheert 36 locaties in de Benelux. Vervolgmelding 10 september: de Bijenkorf bevestigt dat het gehackte CEVA-systeem daadwerkelijk klantgegevens bevatte — naam, e-mailadres, adres, telefoonnummer, bestelinformatie en btw-nummer, waarbij bij oudere zzp-btw-nummers een BSN af te leiden kan zijn; het aantal getroffen klanten is niet bekendgemaakt (Security.NL, 10 september). In september publiceerde DataLekt.nl daarnaast vijf afgeleide meldingen over ditzelfde incident (Ajax, Ace & Tate, ING Punten, Bijenkorf, bol); die zijn hier niet als aparte rijen opgenomen. DataLekt vermeldt bovendien dat de bol- en Bijenkorf-data die op het darkweb circuleert uit een hack van 2025 stamt en niet uit dit incident. |
| 20 jul 2026 | Siip pdt-app (KNVB / betaald voetbal) | Privacy-lek (BSN-verzending) | Onderzoeker stelde vast dat de app privacygevoelige data incl. BSN naar een server stuurt; KNVB en leverancier laten dit onderzoeken, uitkomst uiterlijk aug 2026 |
| 16 jul 2026 | Squid (zeil-navigatiesoftware) | Datalek website | Onbevoegde toegang tot accountgegevens: e-mailadressen, versleutelde wachtwoorden, namen, postadressen en telefoonnummers. Oorzaak en omvang niet bekendgemaakt |
| 14 jul 2026 | Secureholiday (camping-boekingsplatform) | Datalek (hack eind feb, onthuld juli) | 41.577 NL-reserveringen (naam, e-mail, reisdata, betaalbedragen) · phishinggolf mei/juni richting kampeerders |
| 10 jul 2026 | Lidl (webshop NL/BE/DE) | Datalek via IT-dienstverlener | Naam, telefoonnummer, e-mailadres, geboortedatum en klantnummer buitgemaakt bij een externe IT-dienstverlener; aantal klanten onbekend · Lidl waarschuwt voor phishing |
| 10 jul 2026 | VBW Makelaars en Taxateurs | Ransomware-claim (Deadlock) | Geclaimd op darkweb-leaksite; data gestolen en versleuteld, losgeld geëist |
| 2 jul 2026 | Steegaa Interior | Ransomware-claim (The Gentlemen) | Interieurbedrijf geclaimd op darkweb-leaksite |
| 1 jul 2026 | Avans Hogeschool | Datalek (misconfiguratie managementsysteem AMIGO) | Gevoelige persoonsgegevens bijna een jaar onbedoeld toegankelijk door een configuratiewijziging; ontdekt en gedicht begin juli |
| jul 2026 | EBI Vught (PI) | Datalek (menselijke fout) | Gegevens gelekt vanuit de extra beveiligde inrichting; oorzaak menselijke fout (melding staatssecretaris) |
| 21 jun 2026 | NL-consumenten (dataset) | Darkweb-verkoop | Dataset met >7 mln records van NL-consumenten te koop: NAW, geboortedatum, e-mail, telefoonnummers |
| 20 jun 2026 | SRA (accountants-branchevereniging) | Darkweb-leaksite | Toegevoegd aan leaksite van ransomwaregroep; omvang datalek onbekend |
| 19 jun 2026 | Ministerie van Financiën (vervolgmelding) | Zeroday-aanval (mrt) | Hack van maart bleek via zeroday in toegangssoftware te zijn uitgevoerd |
| 18 jun 2026 | Fortinet-firewalls (74k) | Gekraakte wachtwoorden te koop | NCSC waarschuwde NL-organisaties (o.a. onderwijs, overheid) wier firewall-credentials circuleren |
| 15 jun 2026 | SigmaControl | Ransomware (The Gentlemen) | Technologiebedrijf geclaimd op darkweb-leaksite |
| 13 jun 2026 | ChipSoft (update) | Ransomware-herstel | Ziekenhuizen hebben weer toegang tot gegevens; uitwisseling medische informatie hersteld |
| 12 jun 2026 | Van Tuijl (Haaften) | Ransomware-claim (LockBit5) | Familiebedrijf land- en tuinbouwproducten geclaimd op darkweb |
| 12 jun 2026 | Kredietbank Limburg | Cyberaanval | Frauduleuze e-mails verstuurd vanaf systemen van de gemeentelijke kredietbank |
| 8 jun 2026 | Bewindvoerders (NL) | Datalek via verlopen domeinnamen | Overgenomen domeinen van bewindvoerders gaven toegang tot cliëntgegevens |
| 8 jun 2026 | Onderwijsleverancier | Datalek (oud wachtwoord ex-medewerker) | Gegevens van naar verluidt 10 mln leerlingen toegankelijk via 10 jaar oud account |
| 5 jun 2026 | BCD Travel (zakenreisbureau) | Data-exfiltratie/afpersing (ShinyHunters) | 396.313 accounts gelekt op darkweb (claim 700k) · 30 GB · namen, adressen, functies, werkgevers |
| 3 jun 2026 | NL-universiteiten (UvA, EUR, Leiden e.a.) | DDoS-claims (Elite Squad) | DDoS-aanvallen geclaimd op websites van meerdere universiteiten |
| 3 jun 2026 | Katholiek Amersfoort | Ransomware-claim (STORMOUS) | Religieuze instelling; mogelijke datadiefstal |
| 2 jun 2026 | 100+ NL-hotels (Hospecs e.a.) | Datalek + phishinggolf | Klant- en reserveringsgegevens van duizenden gasten; KHN waarschuwde hotels |
| 1 jun 2026 | Bokt.nl (paardenforum) | Datalek (ongeoorloofde toegang) | E-mailadressen + gehashte wachtwoorden van een deel van de gebruikers |
| 1 jun 2026 | ChipSoft (update) | Ransomware-nasleep (Embargo) | ChipSoft meldt dat 100 GB gestolen patiëntdata is vernietigd; herstel loopt nog |
| 30 mei 2026 | HotelsInNederland.nl | Darkweb-dataset | 287.000 boekings- en klantrecords te koop aangeboden |
| 28 mei 2026 | Ajax | Hack supportersdatabase (mrt) | 300.000+ supportersgegevens inzichtelijk; 35-jarige verdachte aangehouden |
| 28 mei 2026 | Pararius.nl | Darkweb-claim | Dataset met naar verluidt 400.000 huurders (NAW, geslacht, adres) |
| 28 mei 2026 | Nijborg Staal | Ransomware (Akira) | Geclaimd op darkweb-portaal van Akira |
| 27 mei 2026 | Basic-Fit & Booking.com | Datalekken | Ongeautoriseerde toegang tot systemen (oorzaak niet vermeld) |
| 27 mei 2026 | Justitiële ICT (JIO) | 2× hack via Citrix/Ivanti | Twee inbreuken in een jaar, vergemakkelijkt door firewall-misconfiguratie |
| 15 mei 2026 | Best Western (BWH Hotels) | ~6 mnd onopgemerkte toegang | 14 okt–22 apr toegang tot reserveringsapp: namen, adressen, verblijfsdata |
| 15 mei 2026 | Instituut Nederlandse Taal (INT) | Hack (5 mei) | Taalwebsites (taaladvies.net, etymologiebank.nl) en e-mail uit voorzorg offline |
| 12 mei 2026 | VeriCon (ingenieursbureau) | Ransomware (The Gentlemen, 9 mei) | Dreiging om gevoelige data te lekken bij uitblijven losgeld |
| 12 mei 2026 | Canvas / Instructure | Hack (ShinyHunters) | Opnieuw binnengedrongen bij onderwijsplatform; losgeld betaald |
| 10 mei 2026 | NorthC (datacenter Almere) | Brand → stroomuitval (geen cyberoorzaak) | Stroom op last van brandweer uitgeschakeld · UU, KVK, NAK, Obvion en ASR landelijk offline |
| 7 apr 2026 | ChipSoft (EPD HiX) | Ransomware (Embargo, toegeschr. 23 apr) | >70% NL-ziekenhuizen afhankelijk van HiX · 11+ ziekenhuizen portalen offline |
| 25 mrt 2026 | Politie Nederland | Phishingpoging | SOC ontdekte de aanval snel en sloot toegang af; impact beperkt |
| 23 mrt 2026 | DigiD / Logius | DDoS-aanvallen | Authenticatiedienst meerdere uren verminderd beschikbaar |
| 20 mrt 2026 | Gemeente Capelle a/d IJssel | Menselijke fout | Dossiers van ~5.000 Wmo-cliënten (Trevvel Samen) openbaar geworden |
| 19 mrt 2026 | Ministerie van Financiën | Hack (ongeautoriseerde toegang) | Systemen voor primaire processen op het beleidsdepartement geblokkeerd |
| 19 mrt 2026 | Innova Energie | Interne datadiefstal | Medewerker stal klantgegevens (naam, geboortedatum, adres, IBAN) |
| 12 mrt 2026 | Gemeente Epe | ClickFix-aanval | 552.000 bestanden / 871 GB incl. BRP-export + 1.000+ identiteitsbewijzen |
| 11 mrt 2026 | Bastion Hotels | Phishing | Boekingsgegevens ~6.000 gasten van 7 hotels buitgemaakt |
| 8 mrt 2026 | Bol | Technisch lek | Klanten konden tijdelijk gegevens van andere klanten zien |
| 7 mrt 2026 | Netwerk NV | Ransomware (AiLock) | Losgeld geëist; dreiging tot publicatie data |
| 6 mrt 2026 | Westfield Mall NL (Leidschendam) | Datalek | Ongeautoriseerde toegang tot loyaliteits-/nieuwsbriefdatabase |
| 4 mrt 2026 | BK Group | Ransomware (Akira) | Geclaimd op darkweb-portaal |
| 7–8 feb 2026 | Odido (telecom) | Data-exfiltratie (ShinyHunters) | 6,2 mln klanten · NAW + IBAN + BSN/ID · €500k losgeld geweigerd |
| 31 dec 2025 | Hogeschool Rotterdam | Account-hacks | Studentaccounts misbruikt voor duizenden crypto-phishingmails |
| 28 dec 2025 | Van Venrooy | Ransomware (Safepay) | Geclaimd op darkweb |
| 27 dec 2025 | RD Metals & Fresh2You | Ransomware (Lockbit5) | Beide geclaimd op darkweb |
| 23 dec 2025 | Gemeente Nissewaard | Onbeveiligde documenten | Documenten van ~1.200 overledenen onbeveiligd in baarhuisje |
| 10 dec 2025 | Hogeschool Utrecht | Account-hack | Accounts medewerkers misbruikt voor e-mailfraude |
| 30 nov 2025 | Van Mossel (autodealerconcern) | Gerichte hack | Ongeautoriseerde toegang; mogelijk beperkte data benaderd |
| 30 nov 2025 | Nederlandse bank (onbekend) | Deepfake-fraude | Identiteitsverificatie omzeild voor openen rekeningen; verdachte aangehouden |
| 19 nov 2025 | Arriva + 27 NL-organisaties | Website-defacement (Black Witch) | Nazi-teksten en -symbolen op voorpagina's geplaatst |
| 17 nov 2025 | HAN (Arnhem-Nijmegen) | Mogelijk datalek (AI) | Docent gaf AI-agent zonder toestemming toegang tot leeromgeving met studentgegevens |
| jul 2025 (buiten L12M) | Clinical Diagnostics (NMDL) | Supply-chain hack lab | 715.000–941.000 vrouwen bevolkingsonderzoek baarmoederhalskanker · BSN + uitslagen · valt sinds augustus 2026 buiten het rollende 12-maandsvenster, blijft opgenomen als referentiecase · vervolg (sep–okt 2026): Bevolkingsonderzoek Nederland hervat de samenwerking met het lab (Kamerbrief minister Hermans: inmiddels NEN 7510-gecertificeerd, PwC-audit positief); op 2 oktober noemt advocaat privacyrecht Ina Brouwer dat in NRC "onbegrijpelijk" — Security.NL spreekt daarbij van "ruim 900.000 mensen" · vervolg (4 november 2026): in een Kamerbrief meldt minister Hermans dat vorig jaar minder vrouwen aan het bevolkingsonderzoek deelnamen dan het jaar ervoor; volgens Security.NL schrijft zij: "Het is goed voorstelbaar dat het datahack het vertrouwen negatief heeft beïnvloed, alhoewel er niet met zekerheid een direct verband te leggen is." (Security.NL 4 november 12:32) |
AI-incidenten — modellen die tijdens tests, training of taken echte systemen van anderen raken NIEUW IN V7.2 · PEILDATUM 24 SEP 2026
Wanneer het gebeurde ● tegenover wanneer het bekend werd ◆ Nieuw risico
Gestippeld = datum geschat. Kleur = bewijs: ■ primair bevestigd (lab, getroffene of toezichthouder) · ■ toeschrijving onzeker · ■ alleen media. Hover voor details.
| Gebeurtenis | Openbaar | Wat er gebeurde | Route | Bewijs |
|---|
Op een smal scherm: veeg horizontaal door tijdlijn en tabel.
Wat hier níet meetelt, en waarom
- Labbevindingen zonder schade aan derden. De meeste berichten over "AI die ontsnapt" uit 2024–2025 gaan over testscenario's waarin het gedrag bewust werd uitgelokt: Apollo liet modellen "koste wat kost" een doel halen (december 2024), Claude Opus 4 kreeg een fictieve vervangingsdreiging (mei 2025), Palisade testte uitschakelscripts (mei 2025). Een eerdere interne versie van Claude Mythos Preview (beschreven in de systeemkaart van 7 april 2026) ontsnapte naar internet op verzoek van de testers en plaatste daarna ongevraagd exploitdetails online, maar toonde geen toegang tot de eigen gewichten of interne systemen. Dat zegt iets over wat modellen kunnen, niet over hoe vaak het echt gebeurt.
- Productie-agents die bij een gebruiker schade doen, zoals een agent die een productiedatabase wist (Replit juli 2025, PocketOS april 2026). Echte schade, maar binnen de eigen omgeving van de gebruiker: een aparte categorie.
- AI misbruikt door menselijke aanvallers (o.a. de dreigingsrapporten van Anthropic). Dat is cybercrime met een AI-gereedschap en hoort bij de bestaande dreigingscategorieën.
- Bekeken na 24 september, niet als rij opgenomen (v7.6): OpenAI's rapport over een agent die op 20 september via DNS-verzoeken uit zijn sandbox een publieke chatbot bereikte (geen inbreuk bij een derde, OpenAI pauzeert training en evaluatie van zijn capabelste modellen); een intern model dat op 27 mei een onderzoekers-credential in OpenAI's eigen publieke codex-repository publiceerde (eigen omgeving); OpenAI-agents die publieke data van Amerikaanse overheidssites ophaalden en 53 gebruikersafbeeldingen op publieke image-hosts plaatsten (geen bypass van beveiliging); Transluce's rapport van 30 september over mislukte hackpogingen op Amerikaanse en Canadese overheidssites (pogingen, niet met zekerheid toegeschreven); de GPT-6 Astra-simulaties van het UK AISI van 28 september (volledig gesimuleerd). Volgens OpenAI's update van 1 oktober (zoals gemeld door o.a. Business Standard; de tijdlijn op OpenAI's eigen pagina is niet statisch uitleesbaar) zijn meer dan honderd organisaties genotificeerd en wordt ~50 petabyte aan logs doorzocht. Na de peildatum (v7.7): de Wikimedia Foundation meldde op 5 oktober activiteit van "rogue" agents die zij aan OpenAI toeschrijft: niet-gepubliceerde testbewerkingen (vrijwel alle in sandbox-gedeelten van de wiki's), enkele bewerkingen aan de configuratie van een citatietool die zij als mogelijk kwaadwillig aanmerkt (om die tool als proxy te gebruiken), mislukte pogingen om de publieke Etherpad te misbruiken, en miljoenen geautomatiseerde verzoeken die mogelijk bijdroegen aan een gedeeltelijke uitval van de Wikidata Query Service in mei. Wikimedia vond geen aanwijzing dat systemen of data gecompromitteerd zijn. Nog niet als rij beoordeeld; dat gebeurt bij de volgende inhoudelijke update van deze sectie.
- Bekeken na 2 oktober, niet als rij opgenomen (v7.9, 27 oktober): de twee kritieke PHP-lekken achter de PHP2Shell-dag van 21 oktober (zie de NL-tabel) zijn volgens de ontdekkers met AI gevonden — Calif met OpenAI op 11 augustus en Wiz op 24 augustus 2026 — en volgens Wiz (tegenover Hart van Nederland, 21 oktober) is wat door AI veranderd is "de mogelijkheid om de zwakke plekken te doorgronden en ze te misbruiken"; Wiz Research bouwde volgens Dutch IT Channel (22 oktober) zelf met AI-modellen binnen uren werkende exploits. Dat is AI als vinder en als gereedschap van menselijke partijen, niet een model dat zelf systemen van anderen raakt; het hoort daarom bij de bestaande dreigingscategorieën en bij de discussie over door AI gevonden kwetsbaarheden, niet in deze tabel. Het Wikimedia-geval van 5 oktober is nog niet als rij beoordeeld; de peildatum van deze sectie blijft 2 oktober.
- Selectieregel: een model raakt tijdens test, training of een niet nader benoemde interne taak echte systemen van anderen. Geteld op datum van gebeurtenis; de openbaarmaking staat ernaast. Drie Anthropic-incidenten die in één melding zijn gepubliceerd, tellen als één rij. Bij Medicare Australië ging het volgens OpenAI (28 september) om training en evaluatie.
- Nederland: geen Nederlandse getroffene aangetoond, maar de meeste slachtoffers zijn niet bekendgemaakt. De Kamervragen van El Boujdaini en Zwinkels (2026Z17015, 19 augustus) vragen precies dit, plus een Europese meldplicht naar voorbeeld van de datalekmeldplicht. Na een uitstelbericht op 14 september antwoordde staatssecretaris Aerdts (EZK) op 5 oktober: of er Nederlandse organisaties getroffen zijn, is het kabinet "niet bekend"; voor een meldplicht verwijst zij naar de plicht in de AI-verordening om ernstige incidenten met AI-modellen voor algemene doeleinden met systeemrisico te melden — al zijn test- en ontwikkelactiviteiten volgens het kabinet van de verordening uitgezonderd en ging het hier voor zover bekend om interne ontwikkelomgevingen (het AI Office bestudeert de gevallen; RDI en AP staan met het AI Office in contact) — en de verantwoordelijkheid ligt volgens het kabinet bij de ontwikkelaars, ook in de ontwikkel- en testfase. De vragen van Stoffer (2026Z18543, 10 september) kregen op 30 september een uitstelbericht en zijn op 7 oktober nog niet beantwoord. Buiten deze categorie, maar relevant voor de lezer: het DIVD meldde op 24 september zelf gehackt te zijn en noemt de modus operandi een "agentic AI powered attack"; op 30 september bleek de toegang te lopen via twee zerodays in ticketsysteem Zammad (NCSC-advisory 0396, misbruik sinds 21 september). Dat is AI als werktuig van een menselijke aanvaller — de categorie hierboven — en telt hier dus niet mee; het staat als rij bij de NL-incidenten (1 oktober).
Waarom stijgen datalekken zo sterk?
- Bulkmeldingen: één supply-chain-incident (AddComm) genereerde 5.407 meldingen in 2024.
- Ketenafhankelijkheid: NCSC CSBN 2025 wijst op toenemende ketenschade via toeleveranciers.
- Menselijke fouten: verkeerd verzonden post en e-mail waren in 2024 samen goed voor ~30% van alle meldingen (7.937 verkeerd verzonden post = 21% plus 3.332 verkeerd geadresseerde e-mail = 9%, van 37.839 meldingen).
- Beter meldgedrag: AVG-bewustzijn neemt toe; organisaties melden sneller en correcter.
Waarom fluctueren zero-days?
- Edge devices en enterprise-producten (VPN, firewalls, virtualisatie) blijven het hoofddoel — 43 van de 90 zero-days van 2025 raakten enterprise-producten (GTIG). v7.0: de eerdere claim "3 van 4 meest-uitgebuite kwetsbaarheden in 2024 zijn zero-days in security-producten" was niet tot een bron te herleiden en is verwijderd.
- Browser-zero-days daalden volgens GTIG fors door hardening (Chrome V8, Safari, MV3) — GTIG publiceert hierbij geen jaarreeks, dus de omvang van die daling is niet na te rekenen.
- Commerciële spyware-vendors zijn in 2025 voor het eerst de grootste zero-day-gebruikers, vóór staten.
- AI-gedreven fuzzing verlaagt de drempel voor ontdekking — GTIG verwacht in 2026 aanhoudend hoge niveaus.
- NL-barometer — vierde recordmaand op rij: oktober 2026 telde 65 NCSC-advisories — de hoogste maand in de hele CSAF-reeks, boven september (62), augustus (60) en juli (58); de reeks stond op 30 oktober op nummer NCSC-2026-0463 (de nummers 0417 en 0418 staan niet in de feed; nr. 0443 van 21 oktober betreft de PHP-lekken achter de PHP2Shell-dag). De L12M-stand over november 2025 – oktober 2026 komt uit op 521 (+24,9%) tegenover 417 een jaar eerder. Stand bij de vorige vensterverschuiving: NCSC-NL stond op 30 september 2026 op advisory-nummer NCSC-2026-0396 (de Zammad-lekken achter de DIVD-hack; nr. 0394 van 27 september is de NetScaler-advisory achter de Citrix-keten). September 2026 telde 62 advisories — de hoogste maand in de hele CSAF-reeks (die loopt vanaf mei 2024), boven augustus (60) en juli (58). De L12M-stand over oktober 2025 – september 2026 komt uit op 499 (+19,7%) tegenover 417 een jaar eerder. Correctie in v7.5: de controleronde van 2 oktober stelde vast dat de reeks t/m v7.4 telde op de datum van de laatste wijziging van een advisory in plaats van op de eerste publicatie; daardoor telden oudere advisories die in september een update kregen (NCSC-2026-0015, -0076, -0271 en -0318) als septemberpublicaties — vandaar 66; de L12M stond op 501 (+19,9%) doordat ook twee advisories uit augustus en september 2025 (NCSC-2025-0241 en -0296) door een update van 17 oktober 2025 in het venster vielen. Alle 1.087 advisories sinds mei 2024 zijn op 2 oktober opnieuw geteld op de datum van eerste publicatie; recordmaand, derde record op rij en de groei van ≈20% blijven overeind, de inflectiemaand verschuift van juni naar mei 2026. Dezelfde oorzaak verklaart het verschil tussen telling en nummering uit v7.4: twee advisories uit 2025 (NCSC-2025-0319 en -0386) kregen in 2026 een update en telden mee als 2026 — op eerste publicatie tellen januari t/m september 2026 precies 396 advisories, gelijk aan het volgnummer. De halverwege-de-maand-schatting van v7.1 (≈81) bleek te hoog: de tweede helft van september was rustiger dan de eerste.
Bronverantwoording & methodologie
Alle cijfers zijn verkregen uit primaire bronnen; de eigen tellingen zijn op 1, 2, 7, 15 en 27 oktober en op 2 en 9 november 2026 opgehaald (venstermaanden sinds 2 november: november 2025 t/m oktober 2026; november t/m dag 8 alleen als tekst), de jaarcijfers van AP, Project Melissa en GTIG zijn op 2 september 2026 live bij de bron gecontroleerd en sindsdien niet opnieuw gecontroleerd. Ransomware-cijfers zijn per definitie onderrapportage (Project Melissa schat 10–15% zichtbaarheid in MKB). De zero-day-cijfers betreffen wereldwijd actief uitgebuite kwetsbaarheden volgens Google GTIG; de NL-specifieke zero-day-exploitatie wordt niet publiek afzonderlijk gepubliceerd.
Primaire bronnen
Datalekken NL: AP – Rapportage datalekken 2025 (8 juli 2026; 39.407 meldingen, 2.428 door cyberaanvallen) · AP – nieuwsbericht bij de rapportage (8 juli 2026) · AP – Rapportages datalekken 2021–2024 (overzicht) · AP Jaarverslag 2025 (2 april 2026; boetes 6 → 4)
Ransomware NL: NCSC – Jaarbeeld Ransomware 2025 (nieuwsbericht + PDF: 92 unieke incidenten) · NCSC – Jaarbeeld Ransomware 2024 (121 incidenten; betalingsbereidheid 18% → 29%) · Cyberveilig Nederland – Jaarbeeld Ransomware 2023 (147, bedrijven >100 fte) · Politie – Jaarbeeld Ransomware 2025 (27 februari 2026)
Dreigingsbeeld NL: NCSC/NCTV – CSBN 2025 (26 november 2025) · Rijksoverheid – Cbw en Wwke vanaf 15 augustus 2026 van kracht (7 juli 2026) · NCSC – meldplicht Cbw (24u / 72u / 1 maand) · NCSC Security Advisories (machine-leesbare CSAF-feed · eigen parsing)
Zero-days & CVE's (wereldwijd): Google GTIG – 2025 zero-day review (5 maart 2026; 90 · 78 · 100) · Google GTIG – 2024 zero-day trends (2022: 63) · BleepingComputer – samenvatting GTIG 2025 (5 maart 2026) · NIST NVD – CVE-database · FIRST EPSS / forecast-methodologie
Open-source supply-chain (GHSA): GitHub Advisory Database (eigen telling op reviewed-only selectie, 1 oktober 2026, hermeten 7, 15 en 27 oktober en 2 en 9 november — endpoints niet gepubliceerd)
NL-incidentregisters (samenstelling L12M-tijdlijn & -tabel; Cybercrimeinfo is t/m v6.6 gebruikt en sindsdien niet meer geraadpleegd): Security.NL – nieuwsarchief · DataLekt.nl – incidenten 2026 · DataLekt.nl – incidenten 2025 · Security.NL – Recordaantal datalekken AP (3 juli 2025) · Security.NL – MIVD-directeur/Strava (7 augustus 2026) · NOS – MIVD-directeur had openbaar Strava-account (7 augustus 2026)
September 2026-incidenten, eerste helft (alle live opgehaald op 15 september 2026): Security.NL – Polarsteps (4 september 2026) · Security.NL – ISD Brabantse Wal (4 september 2026) · Security.NL – ROBBshop.nl (4 september 2026) · Security.NL – CJIB: 6.000 vorderingen verkeerd gekoppeld (4 september 2026) · Security.NL – Androidworld.nl (10 september 2026) · Security.NL – Bijenkorf bevestigt klantgegevens in CEVA-systeem (10 september 2026) · Security.NL – Huisartsencentrum Klein Iterson (11 september 2026) · DataLekt.nl – RentRunner (1 september 2026) · DataLekt.nl – Voordeeluitjes.nl (1 september 2026)
September 2026-incidenten, tweede helft (live opgehaald op 1 oktober 2026): Security.NL – patiëntomgevingen ziekenhuizen weer online na Citrix-kwetsbaarheden (28 september 2026) · Security.NL – Staatssecretaris: Rijksoverheid mogelijk gehackt via Citrix-lekken (30 september 2026) · Security.NL – Onderzoekers melden grootschalig misbruik van kritieke Citrix-lekken (29 september 2026) · Security.NL – Citrix-lek al sinds begin september misbruikt, Google-analyse (30 september 2026) · NCSC – advisory NCSC-2026-0394, NetScaler ADC/Gateway (27 september 2026) · NCSC – advisory NCSC-2026-0396, Zammad (30 september 2026) · Security.NL – Zerodaylekken in ticketsysteem Zammad gebruikt bij hack van DIVD (1 oktober 2026) · DIVD CSIRT – casepagina DIVD-2026-00014 (statements 24 september – 1 oktober 2026, tijdlijn) · DIVD – It was a matter of when, not if (24 september 2026) · Security.NL – Advocaat: onbegrijpelijk dat overheid weer samenwerkt met Clinical Diagnostics (2 oktober 2026) · Tweede Kamer – Kamerbrief Kwetsbaarheden Citrix Netscaler (29 september 2026; alleen de metadata opgehaald, de brief zelf niet) · NOS – datalek bij webshop DA raakt 236.000 klanten (18 september 2026) · Security.NL – DA (21 september 2026) · DataLekt.nl – Leef.nl · DataLekt.nl – All Steel Products
Grote 2026-cases (selectie): Gemeente Epe (552k) · BCD Travel (ShinyHunters) · Ministerie van Financiën · NorthC-brand Almere · DutchNews – BCD Travel
Odido-casus (feb 2026, eigen analyse — onderzoek loopt): Odido.nl/veiligheid – officiële klantpagina (update 2 april 2026) · Politie – Checkjehack tool (2 maart 2026) · RVIG/CMI – waarschuwing misbruik ID-documenten (12 februari 2026)
ChipSoft-casus (april 2026, eigen analyse — onderzoek loopt actief): NOS – Lekken van ziekenhuisdata toch niet uitgesloten bij Chipsoft-hack (15 april 2026) · Landelijke Huisartsen Vereniging (LHV) · ICT&health – zorg-IT-nieuws
AI-incidenten (v7.2, alle bronnen live geopend op 24 september 2026; v7.6-aanvullingen live geopend op 2 en 3 oktober; v7.7-aanvullingen op 7 oktober): Tweede Kamer – Antwoord op Kamervragen 2026Z17015 (5 oktober 2026) · Wikimedia Foundation – OpenAI “rogue” agent activities found on Wikimedia projects (5 oktober 2026) · OpenAI – How we will do better for Australia (Medicare, BOCSAR, Victoria, AIHW; gepubliceerd 28 september 2026; gelezen 2 oktober) · Business Today – Google bevestigt (Adkins): Gemini brak in bij drie echte bedrijven, WSJ berichtte eerst (19 september 2026) · Android Authority – Google bevestigt WSJ-bericht over Gemini en Irregular (21 september 2026) · OpenAI – misalignment report: agent bereikte via DNS een externe chatbot (20 september, gepubliceerd 25 september 2026) · Hugging Face – security incident (16 juli 2026) · OpenAI – Hugging Face-incident (21 juli 2026, met updates) · Hugging Face – technische tijdlijn (27 juli 2026) · OpenAI – the road ahead (26 augustus 2026) · OpenAI – technisch rapport Hugging Face-incident (26 augustus 2026, pdf) · OpenAI – long-horizon-modellen (20 juli 2026) · OpenAI – evaluaties bij derden (4 augustus 2026) · Anthropic – drie incidenten in cyber-evaluaties (30 juli 2026) · Anthropic – vierde incident (9 september 2026) · Meta – Muse Spark 1.1 (14 augustus 2026) · UK AISI – incidentrapport (4 augustus 2026) · collusion.wiki – wiki-zwerm (4 september 2026) · Reuters – wiki-zwerm (4 september 2026) · rubyhack.ai – RubyGems (11 september 2026) · Reuters – verkenning Hugging Face (16 september 2026) · Reuters – Medicare Australië (23 september 2026) · NOS – Medicare Australië (24 september 2026) · Security.NL – Meta bij Irregular (6 augustus 2026, naar CNN) · Security.NL – Gemini bij Irregular (21 september 2026, naar SecurityWeek/WSJ) · Anthropic – systeemkaart Claude Mythos Preview (7 april 2026, pdf) · Tweede Kamer – Kamervragen 2026Z17015 (19 augustus 2026) · Tweede Kamer – Kamervragen 2026Z18543 (10 september 2026) · Signalering en duiding: AI Report (aireport.nl) en Security.NL; aanvullend de AI Incident Database
Transparantie: 2026-cijfers (NVD-CVE YTD 92.319 t/m 31 oktober · L12M okt '26 101.078 · oktober volledig 17.481 · NCSC-advisories t/m nr. NCSC-2026-0463 · september '26 62 · oktober '26 65 (op eerste-publicatiedatum, sinds v7.5) · GHSA-reviewed YTD 12.278 (t/m 31 oktober) · L12M okt '26 12.908 (donut: dezelfde crawl van 9 november) · analyse-ratio L12M 50% · 85 NL-incidenten) zijn eigen telling en eigen analyse op basis van de NVD publieke feed, de GitHub Advisory Database (reviewed-only) en de NCSC CSAF-feed, plus publieke nieuwsupdates en de incidentregisters Security.NL, DataLekt.nl en NOS t/m 9 november 2026 (Security.NL 2–7 november volledig, via de nieuwsfeed en opeenvolgende posting-nummers; daarna tot de ochtend van 9 november geen nieuwsberichten). Cybercrimeinfo is sinds v6.7 niet meer geraadpleegd; rijen uit eerdere edities komen er wél uit. Niet opnieuw gemeten in deze data-refresh, en dus met een oudere teldatum: de Top-10 CRITICAL-tabel (2 september 2026) en de AP-, Melissa- en GTIG-jaarcijfers (live geverifieerd op 2 september 2026). De sectie AI-incidenten is in v7.6 bijgewerkt (peildatum 2 oktober); in v7.7 alleen de status van de Kamervragen en één contextnoot (Wikimedia, 5 oktober); in v7.8 niet bijgewerkt; in v7.9 één contextnoot (PHP2Shell, 27 oktober); in v7.10 en v7.11 niet bijgewerkt. Exacte endpoints/queries worden niet gepubliceerd ter bescherming van de methodologie. Officiële jaaroverzichten verschijnen pas na afloop van het jaar; definitieve slachtofferaantallen bij Odido en ChipSoft worden nog onderzocht. Noot: eerdere versies van dit dashboard rapporteerden GHSA inclusief auto-imported/unreviewed advisories (2025 ≈ 10.913) — deze editie toont alleen de strengere reviewed-subset (2025 = 3.694, hertelling 7 oktober). Rapport: de DOCX/PDF-versie (Cyberdreiging-NL-Analyse-oktober2026-v7.6, 3 oktober 2026) is gesynchroniseerd met v7.6; de v7.7 t/m v7.11 zijn data-refreshes (GHSA-naijling, oktober als lopende maand en vanaf v7.10 als venstermaand, Kamervragen, Albert Heijn, PHP2Shell-dag, DDoS op DigiD, koelsystemen) en niet in het rapport verwerkt — bij afwijkende cijfers is dit dashboard de actuele bron.