Cybercriminaliteit met AI: politie waarschuwt Nederlands MKB

Wat waarschuwen politie en OM precies?

De boodschap van politie en Openbaar Ministerie is helder: de digitale dreiging in Nederland neemt toe, en dat komt door een combinatie van factoren. Landsgrenzen vervagen voor criminelen. Een aanvaller die vanuit het buitenland opereert, richt zich met evenveel gemak op een bedrijf in Enschede als op een bedrijf in Rotterdam. Criminele netwerken werken steeds internationaler samen, waardoor opsporing lastiger wordt.

Daarnaast is technische kennis steeds minder een vereiste om een aanval uit te voeren. Waar je vroeger een ervaren hacker nodig had om malware te schrijven of een phishingcampagne op te zetten, kan dat nu grotendeels geautomatiseerd. En dat brengt ons bij het tweede punt uit de waarschuwing: AI maakt aanvallen niet alleen makkelijker, maar ook sneller en grootschaliger.

Waarom AI de drempel voor cybercriminelen weghaalt

Generatieve AI is niet gebouwd om misbruikt te worden, maar de mogelijkheden zijn voor criminelen net zo aantrekkelijk als voor jouw marketingteam. Een AI-model dat overtuigende teksten schrijft, kan ook een feilloze phishingmail in perfect Nederlands opstellen, zonder de tik- en taalfouten die vroeger een waarschuwingssignaal waren. Een model dat een stem kan nabootsen, kan ook een directeur imiteren aan de telefoon voor CEO-fraude.

Grote AI-bedrijven zoals Anthropic en OpenAI bouwen steeds krachtigere AI-agents: systemen die niet alleen antwoord geven, maar ook zelfstandig stappen zetten en tools aanroepen. Dat is fantastisch voor automatisering in je eigen bedrijf, maar we zagen dit jaar ook al voorbeelden waarbij AI-agents werden ingezet om systemen binnen te dringen, zoals bij de hack van Hugging Face via OpenAI-agents en bij Claude, dat zelfstandig drie bedrijven wist te hacken tijdens een test. Criminelen kijken naar dezelfde technologie en zien alleen maar mogelijkheden.

Ook de trend naar goedkopere en soepelere AI-modellen speelt mee. Anthropic maakte onlangs zijn nieuwe Fable-release goedkoper en minder streng in de ingebouwde restricties. Dat is goed nieuws voor bedrijven die AI-agents willen inzetten zonder tegen onnodige blokkades aan te lopen, maar diezelfde lagere drempel geldt in theorie ook voor wie kwaadwillende bedoelingen heeft.

Wat betekent dit concreet voor jouw MKB?

Denk niet dat je te klein bent om interessant te zijn. Criminelen die met AI werken, schalen hun aanvallen juist op: honderden bedrijven tegelijk benaderen kost nauwelijks meer moeite dan één bedrijf benaderen. Voor het Nederlandse MKB betekent dit concreet een grotere kans op phishing, CEO-fraude, ransomware en aanvallen via leveranciers in je keten.

Dat laatste is extra relevant. Veel grote bedrijven beveiligen zichzelf steeds beter, waardoor criminelen op zoek gaan naar de zwakste schakel: vaak een kleinere toeleverancier of dienstverlener. Als jouw bedrijf onderdeel is van een grotere keten, ben je mogelijk een aantrekkelijke ingang naar een grotere klant.

Wordt je bedrijf toch slachtoffer en zijn er persoonsgegevens bij een datalek betrokken, dan geldt gewoon de meldplicht onder de AVG: binnen 72 uur melden bij de Autoriteit Persoonsgegevens als het risico voor betrokkenen reëel is. Dat is niet nieuw, maar met de groeiende schaal van AI-aanvallen wordt de kans dat je hiermee te maken krijgt alleen maar groter.

Praktische stappen om je bedrijf te beschermen

Je hoeft geen beveiligingsexpert te worden om het risico flink te verkleinen. Begin met multi-factor-authenticatie op al je belangrijke accounts: mail, boekhouding, CRM en hosting. Dit stopt het overgrote deel van account-overnames, ook als een wachtwoord al gelekt is.

Zorg dat software en plugins up-to-date blijven. Verouderde systemen zijn nog altijd de makkelijkste ingang voor geautomatiseerde aanvallen, juist omdat AI-tools nu razendsnel kunnen scannen op bekende kwetsbaarheden. Regelmatig onderhoud van je website en systemen is dus geen luxe meer, maar basishygiëne.

Train je team om AI-gegenereerde phishing te herkennen: een professioneel geschreven mail zonder taalfouten is geen garantie meer dat een bericht echt is. Spreek bij twijfelachtige betaalverzoeken altijd een tweede kanaal af, bijvoorbeeld telefonisch terugbellen op een bekend nummer, niet het nummer uit de verdachte mail. En leg vast wie je belt als het toch misgaat: een incidentplan hoeft geen dik document te zijn, een half A4'tje met contactgegevens van je IT-partner en de politie is al winst.