Het gat tussen een update en een inbraak is gekrompen tot uren

Waarom "we doen updates elk kwartaal" niet meer werkt

Bijna elk bedrijf heeft wel een afspraak over updates. Soms staat die op papier, vaker zit hij in iemands hoofd: we kijken er elk kwartaal naar, of we doen het als de leverancier belt. Dat was jarenlang een verdedigbare keuze. Een lek werd bekend, er kwam een patch, en het duurde meestal weken voordat iemand er daadwerkelijk misbruik van maakte. In die weken paste het wel ergens in de agenda.

Die marge is deze maand zichtbaar verdampt. Beveiligingsonderzoekers beschreven in september 2026 een aanval waarbij niet een handvol mensen maar honderden AI-agents het werk deden. Het resultaat is geen nieuw soort lek, maar een nieuw soort tempo. En tempo is precies waar de meeste kleine bedrijven hun beveiliging op hebben gebouwd.

Wat er precies gebeurde

De aanval richtte zich op PaperCut, printbeheersoftware die op ontelbare school- en kantoornetwerken draait. Twee lekken werden op 27 augustus bekend en de dag erna gepatcht, dus zoals het hoort. Op 31 augustus begon de campagne, en binnen vier uur was de eerste server overgenomen.

Wat de aanvaller anders deed dan gebruikelijk: hij bouwde eerst een kopie van een kwetsbare installatie in zijn eigen testomgeving, liet AI-agents daar de aanval uitwerken en testen, en zette ze daarna los op een doelwitlijst die ook al automatisch was samengesteld. Volgens de rapportages van BleepingComputer en The Hacker News (september 2026) kwamen er 440 servers bij 395 organisaties in 48 landen uit, met gestolen inloggegevens bij 280 slachtoffers. Ongeveer de helft van de getroffenen zat in het onderwijs.

Die verhouding is het interessante deel. Onderwijsinstellingen en kleine bedrijven hebben één ding gemeen: ze draaien dezelfde software als grote organisaties, maar zonder team dat er dagelijks naar kijkt. Voor een aanvaller die zijn werk heeft geautomatiseerd, kost een klein doelwit precies evenveel moeite als een groot doelwit, namelijk bijna niets. Selectief zijn heeft dan geen zin meer.

Waarom dit ook geldt als je geen printserver hebt

De verleiding is groot om dit weg te zetten als een probleem van scholen met verouderde software. Dat is het niet. De software is namelijk keurig gepatcht, en snel ook. Het probleem zit in de tijd tussen "de patch bestaat" en "de patch staat erop".

Denk even aan wat er bij jou aan het internet hangt zonder dat je er nog bij stilstaat. Een NAS waar bestanden op staan. Een VPN-doos van de vorige IT-partij. Een webshopbeheerscherm. Een gedeelde agenda-integratie. En steeds vaker: een eigen server waar een automatiseringsplatform op draait. Wie zelf n8n draait om zijn processen te automatiseren, heeft daarmee ook een systeem aan het internet hangen dat sleutels bevat naar zijn boekhouding, zijn mail en zijn CRM. We legden eerder uit wat n8n precies is en wat je ermee kunt, en juist omdat het zo veel koppelingen bundelt, is het een aantrekkelijk doelwit.

Het punt is niet dat je die dingen niet moet gebruiken. Het punt is dat de rekening voor traag bijwerken hoger is geworden.

Weet eerst wat er aan het internet hangt

Voordat je iets over updates afspreekt, moet je weten waar je het over hebt. Dat overzicht ontbreekt bij verrassend veel bedrijven, en het maken ervan kost geen project maar een middag. Loop deze vier vragen langs:

1. Welke systemen zijn van buitenaf bereikbaar? Alles met een inlogscherm dat je thuis kunt openen, telt mee. Vraag het ook aan de partij die je netwerk heeft ingericht, want daar zit vaak nog een doos die jij bent vergeten.
2. Wie werkt het bij? Niet "de leverancier" als antwoord, maar een naam. Bij software die je zelf draait, is dat antwoord vaak per ongeluk niemand.
3. Hoe snel hoort dat te gebeuren? Zet er een getal bij. Voor iets dat van buitenaf bereikbaar is en waar bedrijfsdata in staat, is binnen een week reëel, en bij een lek dat actief wordt misbruikt binnen een dag.
4. Hoe hoor je dat er iets is? Als het antwoord "als ik toevallig het nieuws lees" is, dan is dat je zwakste schakel. De meeste leveranciers hebben een mailinglijst voor beveiligingsmeldingen. Daar staat niemand op tot iemand zich aanmeldt.

De uitkomst hiervan is meestal een lijstje van vijf tot vijftien dingen, waarvan er twee of drie echt aandacht vragen. Dat is een stuk minder eng dan het gevoel dat eraan voorafging.

Automatisering maakt dit makkelijker, niet ingewikkelder

Grappig genoeg helpt precies hetzelfde gereedschap dat aanvallers gebruiken jou ook. Je hoeft geen securityplatform aan te schaffen om het bijwerken te versnellen. Een paar praktische stappen die we in de praktijk zien werken:

• Laat updates automatisch installeren waar dat kan. Voor besturingssystemen en veelgebruikte pakketten is dat tegenwoordig standaardgedrag. Uitzetten omdat je "geen verrassingen wilt" ruilt een klein risico op een storing in voor een groter risico op een inbraak.
• Maak van het bijwerken een terugkerende agenda-afspraak met een eigenaar. Een half uur per twee weken is genoeg voor de meeste kleine bedrijven, zolang er echt iemand zit.
• Laat een automatisering de meldingen voor je verzamelen. De beveiligingsmailings van je leveranciers kun je in één map laten binnenkomen en wekelijks laten samenvatten, zodat je niet zelf hoeft te filteren wat urgent is.
• Zorg dat je een back-up hebt die losstaat van het systeem zelf. Niet omdat updates eng zijn, maar omdat je daarmee durft bij te werken zonder eerst een uur te twijfelen.

Wie dit soort onderhoud structureel wil beleggen, komt vanzelf bij de vraag wie er verantwoordelijk is voor de servers achter je automatiseringen. Die vraag behandelden we apart in wie update eigenlijk de server van je automatisering.

Wat je van je leverancier mag vragen

Draait je software bij een leverancier, dan ligt het bijwerken daar. Dat betekent niet dat je er niets over te zeggen hebt. Drie vragen die je zonder technische kennis kunt stellen en waarvan het antwoord veel zegt:

• Hoe snel installeren jullie een beveiligingsupdate nadat die beschikbaar is? Een leverancier die dat niet in dagen kan uitdrukken, heeft er geen afspraak over.
• Hoe laten jullie het weten als er iets is misgegaan dat mij raakt? Je wilt geen dagen later via een nieuwssite ontdekken dat jouw gegevens erbij zaten.
• Welke van mijn gegevens zouden bij een inbraak op jullie systemen betrokken zijn? Dat antwoord bepaalt hoe zwaar je dit moet wegen.

Deze vragen werken ook bij AI-leveranciers, en daar zijn ze extra relevant. Een AI-agent heeft per definitie toegang tot meerdere systemen tegelijk, en dat maakt de gevolgen van één gecompromitteerde koppeling groter dan bij een gewoon pakket.

De kern

Er is niet ineens een nieuw soort gevaar bijgekomen. Wat er is veranderd, is dat aanvallers hun werk hebben geautomatiseerd, waardoor de periode waarin je rustig kon bijwerken is samengeperst van weken naar uren. Kleine organisaties merken dat als eerste, omdat ze te weinig opvallen om handmatig te worden uitgekozen maar precies genoeg om automatisch te worden meegenomen.

Het antwoord is niet meer techniek, maar een kortere lijn. Weet wat er aan het internet hangt, weet wie het bijwerkt, en spreek af hoe snel dat gebeurt. Dat is werk voor een middag en het scheelt je de week waarin je moet uitzoeken wat er precies is buitgemaakt.

Benieuwd wat er bij jou eigenlijk aan het internet hangt en wie het bijhoudt? We kijken het graag samen met je door.