Cloudaanvallen op machinesnelheid; België telt 588 meldingen

Een TechPulse-bericht van 19 oktober 2026 verbindt Fortinets waarschuwing voor geautomatiseerde cloudaanvallen met de Belgische cijfers: het Centrum voor Cybersecurity België (CCB) ontving van 1 januari tot en met 28 september 588 meldingen van cyberincidenten, tegenover 556 in heel 2025. Die meldingen betreffen uiteenlopende incidenten; het cijfer van 588 is geen telling van geslaagde cloudaanvallen. De waarschuwing gaat over de snelheid waarmee aanvallers toegang zoeken en die toegang kunnen misbruiken.

De Fortinet-analyse van 23 september 2026 baseert zich uitsluitend op FortiCNAPP-gegevens en noemt wereldwijd 150 miljoen verkenningsactiviteiten, 2,3 miljard pogingen om wachtwoorden te raden en 1,7 miljard pogingen om kwetsbaarheden uit te buiten; de leverancier stelt ook dat de tijd tussen het vinden en misbruiken van een kwetsbaarheid van weken naar uren kan krimpen. Het gaat om wereldwijde activiteiten die in de telemetrie van Fortinet zijn waargenomen, niet om een afzonderlijke Belgische incidentreeks. Voor beveiligingsteams ligt de vroege aanwijzing in de overgang van verkenning naar afwijkende aanmeldingen, ruimere rechten of onverwacht gebruik van clouddiensten.

Belgische meldingen en wereldwijde pogingen meten iets anders

De Belgische reeks registreert incidenten die bij een instantie zijn gemeld; de FortiCNAPP-reeks registreert onder meer verkenning en aanvalspogingen in omgevingen die de leverancier kan waarnemen. Een poging hoeft niet te slagen en een gemeld incident hoeft geen cloudomgeving te betreffen. Daarom laten de reeksen zich niet optellen of gebruiken om te berekenen welk deel van de Belgische meldingen door het door Fortinet beschreven aanvalspatroon is veroorzaakt.

Volgens een verslag van ITdaily deelde het CCB zijn cijfers op 15 oktober; gecompromitteerde systemen waren de vaakst gemelde incidentcategorie en het aantal meldingen daarvan was tegenover het voorgaande kwartaal verdrievoudigd. Dat geeft meer zicht op de aard van de Belgische meldingen dan het jaartotaal alleen. De categorie zegt op zichzelf nog niet of aanvallers via een cloudaccount, een kwetsbare dienst of een andere route binnenkwamen.

De ongelijke meetperioden verdienen eveneens aandacht. Het Belgische cijfer voor het lopende jaar bestrijkt nog geen volledig kalenderjaar, terwijl de vergelijking een afgesloten jaar betreft. Het laat zien dat er al meer meldingen zijn binnengekomen, maar levert zonder gegevens over meldgedrag en de samenstelling van de incidenten geen verklaring voor de stijging. Voor een organisatie zijn de lokale cijfers vooral context; haar eigen toegangs- en gebruiksgegevens moeten uitwijzen of een vergelijkbare aanval zich voordoet.

Verkenning wordt gevaarlijk zodra een dienst bereikbaar blijkt

FortiCNAPP onderscheidt wereldwijd verkenning, brute-forcepogingen en pogingen om kwetsbaarheden uit te buiten.

De snelheid zit in het aaneenschakelen van handelingen: aanvallers brengen bereikbare systemen in kaart, proberen inloggegevens en zoeken naar diensten met een uitbuitbare zwakte. Automatisering kan die stappen voortdurend herhalen. Daardoor heeft een periodieke controle minder waarde wanneer een kwetsbare dienst intussen vanaf het internet te bereiken is en de blootstelling pas bij de volgende controle wordt ontdekt.

Het onderscheid tussen een gevonden kwetsbaarheid en een bruikbare toegangsroute is hier wezenlijk. Een fout wordt urgenter wanneer de getroffen dienst daadwerkelijk bereikbaar is en de zwakte in de draaiende omgeving kan worden uitgebuit. Een te ruime netwerkregel of een ontbrekende beveiligingsinstelling kan de route verder openen. Omgekeerd zegt een lange lijst technische bevindingen zonder informatie over bereikbaarheid weinig over welke aanvalspaden op dat moment openstaan.

Ook de volgorde van gebeurtenissen is een signaal. Herhaalde verzoeken aan een blootgestelde dienst krijgen een andere betekenis wanneer daarna een geslaagde aanmelding, een nieuwe sessie of een wijziging van toegangsrechten volgt. Zo’n combinatie rechtvaardigt onderzoek naar de herkomst en het gebruik van de toegang; de verzoeken afzonderlijk bewijzen geen inbraak. Juist bij een korte reactietijd is die samenhang bruikbaarder dan losse meldingen die elk in een ander beveiligingssysteem blijven staan.

Een geldig account kan misbruik verhullen

Identiteitsmisbruik is in het door Fortinet beschreven wereldwijde patroon de belangrijkste route naar cloudomgevingen. Gestolen, blootgestelde of verkeerd gebruikte inloggegevens kunnen toegang geven via dezelfde aanmeldroute die werknemers en diensten normaal gebruiken. Een succesvolle login vertelt daardoor alleen dat de toegangscontrole een account heeft toegelaten; voor de beoordeling van die sessie telt ook wat het account vervolgens deed.

Een bruikbaar afwijkingssignaal is bijvoorbeeld een identiteit die voor het eerst een beheerdienst benadert, ineens meer rechten krijgt of resources gebruikt die buiten haar gebruikelijke taak vallen. Een afwijkende locatie of een ongebruikelijk tijdstip kan extra context geven, maar is op zichzelf geen sluitend bewijs: reizen, thuiswerk en automatische processen kunnen eveneens een patroon veranderen. De combinatie van identiteit, verleende rechten en handelingen na de aanmelding geeft meer houvast.

Multifactorauthenticatie beperkt de kans dat een wachtwoord alleen voldoende is voor toegang. Daarna blijft de vraag welke macht een toegelaten account werkelijk heeft. Rechten kunnen via rollen en gekoppelde diensten verder reiken dan de naam van het account doet vermoeden. Een account met toegang tot beheerfuncties, gevoelige gegevens of betaalde diensten kan na misbruik dus meer schade veroorzaken dan een account waarvan de bevoegdheden beperkt zijn.

Dat maakt het overzicht van effectieve rechten relevant voor zowel preventie als detectie. Wanneer een ongebruikelijke sessie wordt gevonden, bepaalt dat overzicht welke gegevens en diensten bereikbaar waren en waar verdere activiteit te verwachten is. Overbodige rechten beperken verkleint het mogelijke vervolg na een eerste toegang; een afwijkende rechtenwijziging kan tegelijk een spoor zijn dat de aanvaller al probeert verder te komen.

Onverwacht verbruik kan het misbruik zichtbaar maken

Afwijkend gebruik van cloudmail kan wijzen op misbruik van een cloudresource na ongeoorloofde toegang.

Toegang tot een cloudomgeving kan direct geld opleveren voor een aanvaller. In het beschreven aanvalspatroon komen misbruik van cloudmail via Amazon Simple Email Service, cryptomining met gehuurde rekenkracht en gebruik van betaalde AI-diensten zoals Amazon Bedrock voor. Een plotselinge stijging van uitgaande mail, rekenwerk of AI-verzoeken kan daardoor de eerste zichtbare aanwijzing zijn dat een account of resource voor een ander doel wordt gebruikt.

Een hogere rekening is echter pas een bruikbaar beveiligingssignaal wanneer de stijging aan een dienst, een identiteit en een beginmoment kan worden gekoppeld. Ook een legitiem project kan het verbruik abrupt verhogen. Als tegelijk een onbekende identiteit toegang kreeg of rechten veranderden, wordt de afwijking concreter en kan het team nagaan welke activiteit de kosten veroorzaakte.

De financiële gevolgen kunnen doorlopen zolang de toegang beschikbaar blijft. Daarom gaat het bij onderzoek niet alleen om het bedrag op de factuur, maar ook om de sessies, machtigingen en resources achter de verbruikspiek. Een maildienst kan in korte tijd veel berichten versturen; een rekenomgeving of AI-dienst kan kosten blijven maken zonder dat er gegevens worden gestolen. Die verschillende uitkomsten vragen om dezelfde koppeling tussen toegang en daadwerkelijk gebruik.

Voor middelgrote organisaties ligt daar de betekenis van de waarschuwing: een blootgestelde dienst, een onverwacht actief account en afwijkend verbruik zijn afzonderlijk onvolledige signalen, maar samen kunnen ze de route van toegang naar misbruik zichtbaar maken. De Belgische meldingen tonen dat incidenten lokaal vaker worden gerapporteerd. Of de eigen omgeving geraakt is, blijkt uit de gebeurtenissen rond de eigen accounts, diensten en resources.