Britse veiligheidsdiensten waarschuwen dat AI-aangedreven malware "zeer waarschijnlijk" al in 2028 wordt ingezet om kritieke infrastructuur in het Verenigd Koninkrijk te hacken. Dat is over twee jaar. En wat voor de energiecentrales van Engeland geldt, geldt eerder nog voor het administratiekantoor bij jou om de hoek. Want cybercriminelen richten zich altijd eerst op het laaghangend fruit — en dat ben jij.
De dreiging wordt slimmer
Het bericht komt van de Britse inlichtingen- en veiligheidsdiensten, die deze week via The Guardian hun zorgen deelden. AI kan malware sneller aanpassen, beter verbergen en gerichter aanvallen. Een aanvaller hoeft geen programmeerexpert meer te zijn; een taalmodel schrijft de schadelijke code en past die per slachtoffer aan.
Wired beschreef onlangs een concreet voorbeeld: een nieuwe infostealer-malware die AI gebruikt om slachtoffers automatisch te "doxen". De malware scant niet alleen naar wachtwoorden en bankgegevens, maar gebruikt AI om uit al die losse brokjes informatie een compleet profiel van het slachtoffer op te bouwen — automatisch en op grote schaal. Waar een crimineel vroeger uren moest puzzelen, doet de malware het nu in seconden.
Van goud zoeken naar visnet
Vroeger waren cyberaanvallen als goud zoeken: gericht, tijdrovend, en gericht op grote bedrijven met veel geld. AI verandert dat in vissen met een net. De kosten per aanval dalen, dus criminelen kunnen zich veroorloven om duizenden kleine bedrijven tegelijk aan te vallen.
Voor het mkb betekent dit een oncomfortabele waarheid: je bent niet meer "te klein om interessant te zijn". Je bent juist precies interessant genoeg. Klein genoeg om slechte beveiliging te hebben, groot genoeg om een paar duizend euro aan losgeld of gestolen gegevens op te leveren.
De kosten van niets doen
Een ransomware-aanval kost een Nederlands mkb-bedrijf gemiddeld tienduizenden euro's aan herstelkosten, stilstand en reputatieschade — nog los van het losgeld zelf. Een boekhoudkantoor dat een week niet bij zijn bestanden kan, een webshop die plat ligt tijdens het piekseizoen, een aannemer die zijn planning kwijt is: de schade stapelt zich snel op.
Concreet: een webshop die tijdens een druk weekend plat ligt, mist al snel duizenden euro's aan omzet. En de herstelkosten van een gespecialiseerd IT-bedrijf lopen doorgaans op tot vijftig tot honderd euro per uur — een factuur die je vooraf nooit had ingecalculeerd.
En met AI-aangedreven aanvallen wordt de schade groter, niet kleiner. De malware is beter in het vinden van je back-ups, slimmer in het vermommen van zichzelf, en effectiever in het overtuigen van je medewerkers met nagemaakte e-mails en stemmen.
De Nederlandse context
Nederlandse cijfers bevestigen het beeld. Het CBS meldt dat een steeds groter deel van de Nederlandse bedrijven te maken krijgt met cyberincidenten, en dat vooral kleinere bedrijven achterblijven in beveiliging. Het Digital Trust Center waarschuwt dat mkb'ers nog te vaak denken dat ze geen doelwit zijn — een misvatting die criminelen dankbaar uitbuiten.
Maar er is een tweede effect dat vaak over het hoofd wordt gezien. Een accountantskantoor met vijftien medewerkers gebruikt inmiddels drie AI-tools voor factuurverwerking, klantcommunicatie en rapportages. Elk van die tools is een nieuwe ingang voor een aanvaller — en de kantoorleider die ze heeft laten installeren, heeft zelden stilgestaan bij de beveiliging ervan.
Ook de AVG speelt mee. Als AI-aangedreven malware jouw klantgegevens buitmaakt, ben jij verantwoordelijk voor de datalek-melding bij de Autoriteit Persoonsgegevens. Een aanval is dus niet alleen een technisch probleem, maar ook een juridisch en reputatieprobleem.
Wat je nu kunt doen
Je hoeft geen beveiligingsexpert te worden. Maar een paar basisstappen maken je een stuk minder aantrekkelijk doelwit dan de concurrent die niets doet.
1. Schakel tweefactorauthenticatie overal in. Dit is de goedkoopste en meest effectieve maatregel die er bestaat. Zonder tweede factor komt een gestolen wachtwoord een aanvaller nog steeds niet binnen.
2. Maak back-ups en test ze. Een back-up die je nooit hebt teruggezet, is geen back-up. AI-malware zoekt gericht naar back-ups om ze te vernietigen; bewaar er daarom minstens één offline.
3. Train je mensen op AI-phishing. Criminelen gebruiken AI om overtuigende, persoonlijke phishingmails en nagemaakte stemmen te maken. De oude vuistregel "let op spelfouten" werkt niet meer. Leer je team om onverwachte betaalverzoeken altijd telefonisch te verifiëren.
De cybercriminelen hebben AI al omarmd. De vraag is niet óf ze bij jou aankloppen, maar wanneer — en of jouw bedrijf dan het makkelijkste doelwit is of niet.