Cisco Talos publiceert jaarlijks een van de meest uitgebreide dreigingsrapporten in de cybersecuritysector. Het 2025 Year in Review is gebaseerd op eigen onderzoek, grootschalige telemetrie uit endpoint-, netwerk- en e-mailomgevingen en honderden reële incidentrespons-engagementen wereldwijd. De conclusies zijn helder en soms confronterend: aanvallers opereren sneller dan ooit, richten zich steeds nadrukkelijker op identiteitssystemen en profiteren structureel van verouderde infrastructuur die organisaties niet tijdig vervangen of patchen.
Voor Nederlandse bedrijven, overheidsinstellingen en zorginstellingen zijn de bevindingen direct relevant, want veel van de beschreven kwetsbaarheden en aanvalsmethoden komen ook in onze regio dagelijks voor. Omdat het orginele document meer dan 40 pagina’s beslaat beschrijven we in deze relatieve korte analyse de belangrijkste punten ervan.
Waarom nieuwe kwetsbaarheden binnen dagen massaal worden misbruikt door aanvallers
De snelheid waarmee aanvallers nieuw gepubliceerde kwetsbaarheden omzetten naar werkende exploits is in 2025 naar een nieuw niveau gestegen. Het meest sprekende voorbeeld is React2Shell, een kwetsbaarheid in React Server Components die pas in december 2025 openbaar werd gemaakt. Ondanks die late publicatie eindigde React2Shell als de meest aangevallen kwetsbaarheid van het hele jaar. Dat is een fundamentele verschuiving ten opzichte van eerdere jaren, toen nieuwe kwetsbaarheden doorgaans weken of maanden nodig hadden om breed geëxploiteerd te worden. De verklaring ligt in de combinatie van geautomatiseerde scantooling, wijdverspreide internetblootstelling van kwetsbare systemen en de voorkeur van aanvallers voor componenten in de gebruikersgerichte lagen van software, waar sessieafhandeling, bedrijfslogica en identiteitsbeslissingen plaatsvinden.
Dezelfde dynamiek was zichtbaar bij de ToolShell-kwetsbaarheden in Microsoft SharePoint, die medio 2025 werden ontdekt en binnen weken de top vijf van meest aangevallen CVE’s bereikten. Ransomwaregroepen, botnets en staatsgerelateerde actoren stortten zich vrijwel gelijktijdig op deze kwetsbaarheden, ruim voordat de meeste organisaties hun reguliere patchcycli hadden doorlopen. Analyse van de eerste exploitatiegolf wees op tactieken en indicatoren die consistent zijn met China-gerelateerde dreigingsactoren, voordat bredere opportunistische exploitatie door uiteenlopende groepen volgde. Het rapport maakt daarmee een ongemakkelijke waarheid zichtbaar: de traditionele aanpak van maandelijkse patchrondes is volstrekt ontoereikend wanneer aanvallers hun exploits binnen uren na publicatie operationeel hebben.
Verouderde kwetsbaarheden in Log4j en PHPUnit die nog steeds netwerken compromitteren
Tegenover de razendsnelle exploitatie van nieuwe kwetsbaarheden staat de opmerkelijke vasthoudendheid van oude beveiligingslekken. Log4j, voor het eerst ontdekt eind 2021, staat vier jaar later nog altijd in de top tien van meest aangevallen kwetsbaarheden. De reden is structureel: Log4j zit diep verankerd in een enorm ecosysteem van bedrijfsapplicaties, externe integraties, legacy-systemen, schaduw-IT en onbeheerde internetgerichte diensten. Zelfs organisaties die agressief hebben gepatcht, kunnen niet garanderen dat elke instantie in hun omgeving is weggewerkt. Aanvallers, van opportunistische botnetoperators tot geavanceerde staatsactoren, blijven Log4j gebruiken als een betrouwbare vector voor initiële toegang.
PHPUnit, een breed gebruikt testframework voor PHP dat onder meer de basis vormt onder platforms als WordPress en Shopify, staat met een kwetsbaarheid uit 2017 eveneens nog in de top tien. Adobe ColdFusion completeert het beeld met een kwetsbaarheid die meer dan twaalf jaar oud is. Beide componenten delen hetzelfde probleem: ze worden meegebundeld met applicaties, raken na deployment uit het zicht van beheerders en vallen buiten de reguliere patch- en inventarisatiecycli. De exploitcode is publiek beschikbaar, geautomatiseerde scanners zoeken continu naar kwetsbare instanties en het kost minimale inspanning om een geslaagde aanval uit te voeren. Het rapport concludeert dat deze ontwikkelecosysteemcomponenten dezelfde zichtbaarheid, inventarisatie en patchdiscipline verdienen als traditionele infrastructuur.
Het structurele beveiligingsrisico van end-of-life netwerkapparatuur
Een van de meest verontrustende bevindingen betreft de schaal waarop verouderde, niet meer ondersteunde apparatuur wordt aangevallen. Bijna 40 procent van de honderd meest aangevallen kwetsbaarheden treft end-of-life apparaten: netwerkhardware, VPN-appliances en webservers die geen beveiligingsupdates meer ontvangen maar nog in productieomgevingen draaien. Organisaties laten hun uitfaseringsbeleid structureel achterlopen bij de levenscycli van leveranciers, en aanvallers exploiteren dat gat doelbewust. Circa 25 procent van de kwetsbaarheden treft breed gebruikte frameworks en bibliotheken zoals Log4j, Spring, Tomcat en OpenSSL, waarbij een enkele kwetsbaarheid tientallen producten van verschillende leveranciers tegelijk kan raken.
Bovendien is 32 procent van de kwetsbaarheden in de top honderd minstens tien jaar oud. Ze treffen kerncomponenten als Bash, PHP en Apache Struts die vrijwel overal voorkomen. VPN-oplossingen van Fortinet, Pulse Secure en F5 BIG-IP met kwetsbaarheden van vijf jaar of ouder werden in 2025 nog actief misbruikt omdat ze directe remote toegang tot netwerken bieden.
Tachtig procent van de kwetsbaarheden in de dataset betreft remote code execution-kwetsbaarheden, het type dat aanvallers in staat stelt identiteitscontroles te omzeilen, phishing overbodig te maken en voet aan de grond te krijgen zelfs in sterk gesegmenteerde netwerken. Bedrijfsomvang speelt daarbij een rol in het type aanvallen dat organisaties treft: grote organisaties zien een kleiner aantal kwetsbaarheden dat disproportioneel vaak wordt aangevallen, terwijl kleine organisaties een breder scala aan bedreigingen ervaren doordat zij een diverser technologielandschap hebben.
Hoe aanvallers via netwerkapparatuur identiteitssystemen compromitteren en volledige netwerktoegang verkrijgen
Een van de meest significante trends in het rapport is de verschuiving van aanvallen op individuele netwerkapparaten naar gerichte aanvallen op systemen die identiteit valideren en toegang reguleren. VPN-gateways authenticeren gebruikers en creëren vertrouwde sessies. Application delivery controllers bemiddelen single sign-on en valideren identiteitstokens. Next-generation firewalls handhaven identiteitsgebonden toegangsbeleid. Netwerkmanagementplatformen bevatten geprivilegieerde beheerdersgegevens. Wanneer een aanvaller één van deze componenten compromitteert, krijgt hij niet zomaar toegang tot een apparaat, maar tot de vertrouwensinfrastructuur van de hele organisatie.
ADC’s zoals Citrix ADC en F5 BIG-IP bleken in 2025 bijzonder waardevolle doelwitten en vertegenwoordigden 22 procent van de top vijftig aangevallen netwerkapparaten. Deze systemen verwerken SAML- en OAuth-flows, beheren sessiecookies en TLS-sleutels en handhaven MFA- en toegangsbeleid. Het compromitteren van één ADC kan een aanvaller gelijktijdig toegang geven tot tientallen achterliggende applicaties, van e-mail en CRM tot financiële systemen en HR-platforms. Netwerkmanagementplatformen zoals vCenter Server, FortiManager en Cisco Security Manager vormen een aparte risicocategorie: hoewel ze technisch gezien geen netwerkapparaten zijn, bevatten ze de configuratie en orchestratie van alle apparaten die het netwerk vormen. Een enkele compromittering kan cascaderen naar organisatiebrede blootstelling. APT-groepen richten zich daarom frequent op deze managementlaag, omdat het compromitteren ervan functioneel gelijkstaat aan het compromitteren van het volledige netwerk.
Het rapport laat verder zien dat aanvallers de software- en firmwarelagen binnen netwerkappliances veel vaker aanvallen dan de fysieke apparaten zelf. Platformsoftwarekwetsbaarheden, hoewel ze slechts veertien procent van de CVE’s vertegenwoordigen, hebben een buitenproportionele impact omdat ze meerdere apparaatklassen tegelijk treffen. Een kwetsbaarheid in FortiOS of PAN-OS raakt niet één firewall, maar potentieel elk apparaat dat op dat besturingssysteem draait, wat het aanvalsoppervlak exponentieel vergroot.
Welke sectoren het zwaarst worden getroffen door ransomware
De maakindustrie was in 2025 voor het derde achtereenvolgende jaar de meest aangevallen sector door ransomwaregroepen. De combinatie van lage downtime-tolerantie, hybride IT/OT-omgevingen, beperktere cybersecuritybudgetten en afhankelijkheid van legacy-apparatuur maakt deze sector tot een persistent doelwit. Professionele, wetenschappelijke en technische dienstverlening was de op één na meest aangevallen sector, mede doordat organisaties in deze categorie vaak essentiële diensten leveren aan kritieke infrastructuursectoren en daardoor eveneens een lage tolerantie voor uitval kennen.
De actuele ransomwarecijfers in Nederland over 2025 bevestigen dat vergelijkbare aanvalsvectoren, met name accountovernames en misbruik van kwetsbaarheden, ook bij Nederlandse incidenten de belangrijkste toegangsroutes vormen.
Een consistent patroon is de jaarlijkse dip in ransomwareactiviteit in januari, vermoedelijk veroorzaakt door vakantieperiodes in Oost-Europa rondom de orthodoxe kerst. Beveiligingsteams kunnen deze relatieve luwte benutten om verdedigingsmaatregelen te testen en verbeteringen door te voeren voordat de activiteit in het voorjaar weer toeneemt.
Identiteit loopt als rode draad door alle ransomware-engagementen. Het gebruik van geldige accounts werd waargenomen in meerdere fases van de aanvalsketen, van initiële toegang via phishing en gestolen credentials tot laterale beweging met RDP, PsExec en PowerShell, drie tools die allemaal geldige gebruikersgegevens vereisen om te functioneren. Aanvallers richten zich op de persoon die de sleutel bezit, niet op het slot zelf.
Waarom gerichte aanvallen op MFA zo sterk zijn toegenomen in 2025
Multifactorauthenticatie was in 2025 een primair doelwit voor aanvallers die zich richtten op het ondermijnen van de systemen die gebruikersidentiteit verifiëren en beheren. Bijna een derde van alle MFA-spray-aanvallen richtte zich op identity and access management-applicaties, een stijging van zes procentpunt ten opzichte van het jaar ervoor. Deze applicaties zijn bijzonder aantrekkelijk omdat een succesvolle aanval directe toegang oplevert tot SSO-tokens, rolwijzigingen, MFA-beleidsinstellingen en gebruikersgegevens. Tegelijkertijd nam het aandeel aanvallen op privileged access management-systemen en besturingssysteemapplicaties toe, twee categorieën die bij compromittering onmiddellijk brede toegang opleveren tot credential stores, wachtwoordkluizen, Kerberos-tickets en SSH-sleutels.
Nog alarmerender is de stijging van 178 procent in frauduleuze apparaatregistraties. Bij deze aanvallen registreert een aanvaller een eigen authenticatieapparaat als vertrouwde MFA-factor, waardoor toekomstige MFA-uitdagingen permanent worden omzeild zonder betrokkenheid van het slachtoffer. In 77 procent van de gevallen werd dit bereikt via voice phishing gericht op beheerders, een aanpak die drie keer vaker voorkwam dan fraude via gebruikersgestuurde registratie. Universiteitsomgevingen en helpdesks zijn bijzonder kwetsbaar doordat de werkdruk hoog is, verificatieprocedures niet altijd streng worden nageleefd en het apparatenlandschap divers en grotendeels onbeheerd is.
De sectorspecifieke patronen zijn veelzeggend. De technologiesector werd het meest getroffen door spray-aanvallen vanwege gestandaardiseerde infrastructuur en voorspelbaar inloggedrag. Het hoger onderwijs was daarentegen het primaire doelwit voor apparaatcompromittering, doordat de heterogene mix van persoonlijke laptops, mobiele apparaten, gedeelde labcomputers en BYOD-apparatuur, vaak met verouderde besturingssystemen, een ideale omgeving creëert voor dit type aanval. De maakindustrie werd door beide aanvalstypes getroffen: de voorspelbare, ploeggebonden werkpatronen maken spray-aanvallen effectief, terwijl de mix van gedeelde terminals, OT-apparaten en contractorapparatuur de deur opent voor apparaatcompromittering.
Van generieke spam naar gerichte nabootsing van werkprocessen: de evolutie van phishing
Phishing bleef in 2025 de belangrijkste methode voor initiële toegang en werd waargenomen in veertig procent van alle Talos IR-cases. De aard van de lokmiddelen verschoof echter aanzienlijk. Waar generieke spam en clickbait-achtige onderwerpregels eerder domineerden, bootsen aanvallers nu dagelijkse bedrijfsworkflows na: factuuraanvragen, betalingsverzoeken, gedeelde documenten, vergadernotificaties en reisgerelateerde berichten. De opkomst van termen als “airport,” “itinerary” en “boarding” in phishing-onderwerpregels wijst erop dat aanvallers zakelijke reisworkflows misbruiken om credentials of MFA-tokens te stelen via valse SSO-pagina’s. Tegelijkertijd namen IT-gerelateerde lokmiddelen toe met termen als “tampering,” “error,” “configuration” en “server,” specifiek gericht op beheerders en ontwikkelaars die geneigd zijn snel te reageren op wat lijkt op een infrastructuurwaarschuwing.
Verontrustend was ook de toename van post-compromise phishing: in 35 procent van de phishing-cases werden gecompromitteerde interne accounts gebruikt om vanuit de organisatie zelf phishing-e-mails te versturen, waarmee aanvallers het vertrouwen dat medewerkers in interne communicatie stellen actief misbruikten. In het tweede kwartaal van 2025 was dit het geval in maar liefst 75 procent van de gevallen waarin initiële toegang via phishing werd verkregen.
Een bijzonder ernstige bedreiging vormde het misbruik van de Microsoft 365 Direct Send-functie. Deze functie, ontworpen om interne apparaten zoals printers en scanners e-mails te laten versturen naar gebruikers binnen de organisatie, werd door aanvallers ingezet om interne e-mailadressen te spoofen zonder enig account te compromitteren. Omdat het verkeer technisch via Microsoft-infrastructuur loopt, passeren deze berichten traditionele authenticatiecontroles zoals SPF en DKIM grotendeels ongecontroleerd. De lokmiddelen waren opvallend gericht, met verwijzingen naar bonusuitkeringen, salarisgegevens en vergaderopnames, specifiek ontworpen voor leidinggevenden. Direct Send functioneert hierbij precies zoals ontworpen, wat betekent dat aanvallers geen bugs exploiteren maar een legitiem kenmerk misbruiken, vergelijkbaar met het gebruik van living-off-the-land-technieken bij andere typen aanvallen.
Wat de toename van statelijke cyberdreigingen vanuit China, Rusland, Noord-Korea en Iran betekent
De geopolitieke dimensie van het dreigingslandschap nam in 2025 fors toe. Het aantal Talos-onderzoeken naar China-gerelateerde campagnes steeg met 74 procent, een weerspiegeling van wat de Amerikaanse overheid omschrijft als een groei in zowel de breedte als de diepte van Chinese cybercapaciteiten. Chinese dreigingsactoren combineerden zero-day en bekende kwetsbaarheden om gerichte spionageoperaties en grootschalige exploitatiecampagnes uit te voeren. Groepen als UAT-9686, UAT-6382 en UAT-5918 richtten zich op uiteenlopende doelwitten, van lokale Amerikaanse overheden tot kritieke infrastructuur en telecombedrijven in de VS en Azië. Opvallend was de toename van financieel gemotiveerde operaties door Chinese cybercriminelen naast traditionele spionage, waarbij dezelfde tooling voor beide doeleinden werd ingezet. De aanklacht tegen medewerkers van het Chinese technologiebedrijf i-Soon in maart 2025 illustreerde hoe gecompromitteerde e-mailaccounts werden verkocht aan de Chinese overheid voor bedragen tussen de 10.000 en 75.000 dollar per account.
Russische APT-groepen bleven opereren in lijn met de oorlog in Oekraïne. APT28, geattribueerd aan de GRU, richtte zich op Westerse logistieke organisaties betrokken bij hulpleveringen aan Oekraïne via een twee jaar oude WinRAR-kwetsbaarheid. Er werd een correlatie waargenomen tussen sanctieaankondigingen en pieken in Russische cyberactiviteit, met een verviervoudiging in mei 2025. De groep Static Tundra, vermoedelijk verbonden aan de FSB, exploiteerde bekende kwetsbaarheden in Cisco IOS XE-software voor gerichte spionageoperaties tegen de telecom- en technologiesector. Drie malwarefamilies domineerden de aanvallen op Oekraïne: DarkCrystal RAT, Remcos RAT en Smoke Loader, alle drie beschikbaar als malware-as-a-service en veelvuldig waargenomen in aanvalsketens die worden geassocieerd met Russische actoren.
Noord-Koreaanse actoren realiseerden recordbrekende cryptodiefstallen, waaronder de diefstal van 1,5 miljard dollar aan Ethereum bij de Bybit-exchange. De Contagious Interview-campagne van Famous Chollima werd door het jaar heen verbeterd met nieuwe mogelijkheden voor toetsenbordregistratie, screenshots en anti-debugging. Daarnaast werden duizenden Noord-Koreaanse IT-medewerkers met gestolen identiteiten en AI-gegenereerde profielen bij Fortune 500-bedrijven geplaatst, waar zij naast het genereren van inkomsten voor het regime ook persistente insidertoegang tot bedrijfsnetwerken opbouwden. Talos identificeerde patronen in de aanmaak van valse persona’s, waarbij e-mailadressen veelal eindigen op cijfers en woorden bevatten als “code,” “dev,” diernamen of namen uit de Griekse mythologie. Het traceren van deze patronen kan organisaties helpen bij het vroegtijdig detecteren van verdachte sollicitanten.
Iraanse dreigingsactoren richtten zich op langdurige, onopgemerkte toegang tot telecombedrijven via een geüpdatete versie van de HTTPSnoop-backdoor, die inmiddels URL-patronen aanpast aan het verkeer van de specifieke slachtofferomgeving om detectie te bemoeilijken. Hacktivistische groepen gelieerd aan Iran verdrievoudigden hun activiteit in juni als reactie op militaire escalaties rondom het Israël-Hamas-conflict, waarbij DDoS-aanvallen, websitedefacements en disruptieve operaties werden ingezet als goedkoop instrument voor regionale beïnvloeding. De pro-Russische hacktivistengroep Z-Pentest, die in 2025 ook pro-Iraanse sympathieën uitte, viel op door operationele technologie-inbraken bij kritieke infrastructuurorganisaties, een afwijking van de meer traditionele DDoS-aanpak die bij de meeste hacktivistengroepen wordt waargenomen.
Kunstmatige intelligentie die het dreigingslandschap verandert
Het rapport bevestigt dat kunstmatige intelligentie het dreigingslandschap fundamenteel verandert, al is volledige automatisering van de aanvalscyclus nog niet bereikt. AI verlaagt de drempel voor onervaren aanvallers om overtuigende phishingsites en social engineering-campagnes te genereren en verhoogt tegelijkertijd het plafond voor geavanceerde actoren via deepfake-technologie en geautomatiseerde toolontwikkeling. Wie meer wil weten over de manier waarop cybercriminelen AI inzetten in elke fase van een aanval, herkent in de Talos-bevindingen dezelfde patronen die ook in andere recente analyses naar voren komen.
De opkomst van agentic AI vormt een bijzonder zorgwekkende ontwikkeling. Modulaire frameworks zoals VoidLink demonstreren hoe ontwikkeltaken die voorheen maanden in beslag namen nu in dagen of zelfs uren kunnen worden afgerond. Op mobiele platformen zijn de eerste voorbeelden van AI-enabled malware al waargenomen: kwaadaardige software die scherminhoud evalueert en op basis daarvan autonome vervolgacties bepaalt. De integratie van AI in mobiele besturingssystemen verloopt sneller dan op traditionele endpoints, doordat de API’s voor agentic gebruik op deze platformen al gereed zijn voor adoptie.
Talos verwacht dat AI-gestuurde autonome agenten in de nabije toekomst worden ingezet voor herhaalbare taken als laterale beweging, dataverzameling en exfiltratie, waardoor menselijke operatoren hun capaciteit kunnen schalen of hun aandacht kunnen richten op complexere, handmatige onderdelen van een operatie. Deze capaciteit bestaat waarschijnlijk al, aldus het rapport, maar is nog niet publiekelijk gedocumenteerd. Organisaties staan daarmee voor een dubbele uitdaging: zij moeten zich verdedigen tegen nieuwe AI-specifieke risico’s zoals context poisoning en prompt injection, terwijl zij tegelijkertijd AI moeten integreren in hun eigen verdedigingsworkflows om alerttriage en gedragscorrelatie bij te houden met de snelheid waarmee het dreigingslandschap evolueert.
Kernboodschap voor organisaties: beveilig identiteit, supply chain en de managementlaag
Het Cisco Talos 2025 Year in Review laat zien dat de focus van moderne beveiliging moet verschuiven van het patchen van individuele kwetsbaarheden naar het fundamenteel beveiligen van de identiteits-, supply chain- en managementlagen die de hedendaagse onderneming besturen. Aanvallers richten zich op de systemen die vertrouwen valideren en toegang bemiddelen. Organisaties die hun patchbeheer, apparaatinventarisatie, MFA-configuratie en netwerkmanagement niet als samenhangende prioriteit behandelen, lopen een structureel en groeiend risico. De snelheid van exploitatie laat geen ruimte meer voor maandelijkse cycli, de persistentie van oude kwetsbaarheden toont aan dat eenmalig patchen niet volstaat en de focus op identiteit maakt duidelijk dat technische beveiliging zonder een solide strategie voor identiteits- en toegangsbeheer onvoldoende bescherming biedt.
De specialisten van SolidBE helpen organisaties bij het opbouwen van een verdedigingsstrategie die aansluit bij deze realiteit. Van het beveiligen van netwerkinfrastructuur en identiteitsbeheer tot het implementeren van monitoring, segmentatie en incidentrespons: neem contact op om te bespreken hoe uw organisatie zich effectief kan wapenen tegen de dreigingen die dit rapport beschrijft.
Lees het geheel rapport via https://blog.talosintelligence.com/2025yearinreview/
