De 5 grootste Nederlandse hacks van 2026 (en hoe je dit voorkomt)

In februari 2026 ging bij Odido de telefoon. Aan de lijn iemand die zei dat hij van de IT-afdeling was. De medewerker aan de andere kant deed wat hem gevraagd werd: inloggen op wat leek op de vertrouwde werkomgeving. Het was een nagemaakte pagina. Binnen een uur lagen de gegevens van miljoenen klanten op straat.

Geen zero-day. Geen geniale code. Eén telefoontje.

Dat is het patroon dat dit jaar telkens terugkomt in de Nederlandse hacks van 2026. De grootste schade ontstond zelden door een technisch hoogstandje, maar door een ontbrekende controle, een vergeten koppeling of een leverancier waar niemand meer naar keek. En dat is precies waarom dit ook voor een bedrijf van vijftien man relevant is.

Hieronder de vijf incidenten die er dit jaar het meest uitsprongen. Per incident: wat er misging, technisch én organisatorisch, en wat wij bij YX Digital concreet doen om hetzelfde scenario te voorkomen bij de websites en webapplicaties die we bouwen en beheren.

Hoe kon één telefoontje het datalek bij Odido veroorzaken?

Omdat er geen harde procedure was om te controleren of iemand die zich voordoet als IT-medewerker dat ook echt is. De aanvaller, uit de hoek van de groep ShinyHunters, belde de klantenservice, liet een medewerker inloggen op een nepversie van de werkomgeving en had daarmee zijn inloggegevens. Ongeveer een uur lang was er vrije toegang tot interne systemen.

In dat uur werd 21 miljoen regels data buitgemaakt, van circa 8 miljoen accounts en 6,2 miljoen klanten. Daarmee is het een van de grootste datalekken uit de Nederlandse geschiedenis. Onder de gestolen gegevens zaten ook interne klantnotities van honderden mensen, met aantekeningen over betalingsachterstanden en bewindvoering. Precies het soort informatie waar je als klant nooit rekening mee houdt dat het ergens genoteerd staat.

Wat ging er mis

Technisch werd er niets gekraakt. De aanvaller kreeg geldige inloggegevens en liep gewoon door de voordeur. Organisatorisch ging het op twee plekken fout. Er was onvoldoende verificatieprocedure voor inbellende "IT-medewerkers", en er was onvoldoende segmentatie en monitoring om te zien dat er ineens in bulk klantdata werd opgehaald. Een uur is lang genoeg om miljoenen records te exporteren, maar ook lang genoeg om het op te merken, als je erop let.

Wat YX Digital hieraan doet

Bij elke applicatie die wij bouwen staat multi-factor authenticatie standaard aan voor beheerders, niet als optie in de instellingen. Een gestolen wachtwoord is dan op zichzelf niet genoeg om binnen te komen.

Daarnaast leggen we samen met de klant een vaste verificatieroute vast voor supportverzoeken. Wij vragen nooit telefonisch om inloggegevens, en jouw medewerkers mogen die ook nooit telefonisch geven, ook niet als het dringend klinkt. Support loopt via een vast, herkenbaar kanaal met terugbelverificatie. Die afspraak lijkt simpel, maar hij is precies wat er bij Odido ontbrak.

Tot slot bouwen we sessiebeveiliging in die opvalt als iets niet klopt: inloggen vanaf een onbekende locatie, meerdere sessies tegelijk, ongebruikelijke exports. Niet om medewerkers te controleren, maar om dat ene uur te verkorten tot een paar minuten.

Wat leert het datalek bij Rituals over klantendatabases?

Dat een loyaltyprogramma net zo gevoelig is als een boekhouding. In april 2026 kregen onbevoegden toegang tot een deel van de klantgegevens in het programma "My Rituals". Buitgemaakt werden volledige naam, adres, e-mailadres, telefoonnummer, geboortedatum en geslacht. Wachtwoorden en betaalgegevens zaten er niet bij.

Rituals ontdekte de ongeautoriseerde download en blokkeerde de toegang. Hoeveel klanten precies getroffen zijn, is nooit bekend geworden. Het ging in elk geval om klanten in meerdere Europese landen en het Verenigd Koninkrijk. Het bedrijf waarschuwde getroffen klanten expliciet voor phishing, en dat is terecht: met een naam, adres en geboortedatum wordt een neppe e-mail ineens heel overtuigend.

Wat ging er mis

De aanwijzingen wijzen op een zwakke plek in de toegangsbeveiliging rond de klantendatabase achter het loyalty-platform. Niet de winkel werd gehackt, maar het systeem waarin klantprofielen worden bewaard.

Wat hier vooral opvalt is dat een grote export blijkbaar niet meteen alarm sloeg. De download werd ontdekt, maar pas nadat hij had plaatsgevonden. Dat is het verschil tussen een incident en een datalek.

Wat YX Digital hieraan doet

We werken met rolgebaseerde toegangscontrole. Een marketingmedewerker die e-mails verstuurt heeft geen rechten om het volledige klantenbestand te downloaden, want dat is voor zijn werk niet nodig. Klinkt streng, maar het beperkt de schade als één account gecompromitteerd raakt.

Gevoelige velden versleutelen we in de database, en we zetten klantdata bewust apart van de rest van de applicatie. Wie via de website binnenkomt, staat daarmee nog niet in het klantenbestand.

En we monitoren op ongebruikelijke bulk-exports. Als er op dinsdagnacht 40.000 klantrecords worden opgehaald terwijl dat normaal nooit gebeurt, gaat er een melding uit. Bij Rituals had zo'n signaal het verschil kunnen maken tussen "een deel van de gegevens" en "vrijwel niets".

Verzamel daarnaast niet meer dan je gebruikt. Een geboortedatum in je loyaltyprogramma is leuk voor een verjaardagsmail, maar het is ook een gegeven dat je nooit meer kunt terugnemen als het weglekt. Bij het inrichten van formulieren en klantprofielen stellen we die vraag standaard.

Waarom raakte de hack bij ChipSoft meerdere ziekenhuizen tegelijk?

Omdat niet de ziekenhuizen zelf werden gehackt, maar hun softwareleverancier. In april 2026 werd ChipSoft, leverancier van zorgsoftware, getroffen door ransomware. De aanvallers dreigden ongeveer 100GB aan gestolen data op het darkweb te publiceren.

Het gevolg was direct zichtbaar bij organisaties die zelf niets fout hadden gedaan. Het Diakonessenhuis in de regio Utrecht, het Meander Medisch Centrum in Amersfoort en het Martini Ziekenhuis in Groningen ondervonden verstoringen in hun dienstverlening.

Wat ging er mis

Dit is een schoolvoorbeeld van een supply chain-aanval. Eén partij in de keten wordt geraakt, en tientallen organisaties die van die partij afhankelijk zijn voelen het. Voor het ziekenhuis maakt het niet uit waar de storing vandaan komt; het systeem doet het niet.

De les hier gaat niet over antivirus. Hij gaat over afhankelijkheid. De meeste bedrijven weten wel welke software ze gebruiken, maar niet wat er gebeurt als één van die leveranciers een week uit de lucht ligt.

Wat YX Digital hieraan doet

We beoordelen leveranciers voordat we ze in een project opnemen. Welke plugins, pakketten en externe diensten komen er in jouw website of applicatie, wie zit erachter, en worden ze actief onderhouden? Een gratis plugin die twee jaar geen update kreeg, is geen besparing.

Patchmanagement regelen we structureel in plaats van incidenteel. Updates worden eerst uitgerold op een geïsoleerde testomgeving en pas daarna live, zodat een beveiligingsupdate niet je bestelproces breekt.

Back-ups maken we automatisch, bewaren we op een gescheiden locatie, en, dit is het deel dat vaak overgeslagen wordt, we testen periodiek of een restore ook echt werkt. Een back-up die je nooit hebt teruggezet is een aanname, geen zekerheid. Bij ransomware is dat verschil het verschil tussen een dag ongemak en weken stilstand.

Tot slot zorgen we dat kritieke onderdelen gescheiden draaien. Als één component omvalt, gaat niet meteen de hele omgeving mee.

Wat gebeurde er bij Ernst & Young en waarom is dat gevaarlijk?

Daar kwamen hackers binnen via een systeem dat niemand als kroonjuweel beschouwde. In juli 2026 werd een extern ticketsysteem dat het IT-supportteam van EY gebruikte geïnfiltreerd. Via dat systeem waren mogelijk gevoelige fiscale documenten en financiële klantgegevens blootgesteld.

Dat is het ongemakkelijke aan dit incident. Een ticketsysteem is geen hoofdapplicatie. Het is het gereedschap waarmee support wordt afgehandeld. Maar in de bijlagen van die tickets zit precies het materiaal waar een aanvaller op uit is: documenten die klanten hebben opgestuurd omdat er iets niet werkte.

Wat ging er mis

Een systeem van een derde partij, met toegang tot gevoelige informatie, viel buiten de zwaarste beveiligingsaandacht. Het is een klassiek blinde vlek: de hoofdapplicatie is dichtgetimmerd, maar de tools eromheen, chatwidgets, formulieren, ticketsystemen, analytics-koppelingen, worden zelden even kritisch bekeken.

Wat YX Digital hieraan doet

We nemen alle koppelingen met derde partijen mee in de beveiligingsaudit, niet alleen de applicatie zelf. Elke chatwidget, elk formulier dat naar een externe dienst stuurt, elke integratie met een CRM of ticketsysteem: wat gaat daarheen, waar wordt het bewaard en wie kan erbij?

Daarbij hanteren we het principe van minimale rechten. Een koppeling die alleen contactformulieren hoeft door te sturen, krijgt geen leesrechten op je klantendatabase. API-sleutels beperken we tot precies wat nodig is, met een vervaldatum, en we roteren ze periodiek.

We houden ook bij welke integraties er in de loop van de tijd zijn bijgekomen. Bij bijna elke website die we overnemen vinden we koppelingen die niemand meer gebruikt maar die nog wel actief toegang hebben. Die zetten we uit. Een integratie die niet bestaat, kan ook niet gehackt worden.

Wat weten we over de ransomware-aanval bij AkzoNobel?

Minder dan bij de andere vier, en dat is op zichzelf leerzaam. In maart 2026 werd AkzoNobel genoemd als mogelijk slachtoffer van de Anubis-ransomware, waarbij ongeveer 170GB aan data zou zijn buitgemaakt. De exacte inbraakmethode is nooit uitgebreid openbaar gemaakt en niet alle details zijn publiek bevestigd.

Die onzekerheid hoort erbij. Bedrijven communiceren tijdens een lopend onderzoek terughoudend, en claims van ransomwaregroepen zijn niet altijd betrouwbaar. Wat we wel weten is de omvang van de claim, en dat 170GB aan bedrijfsdata een serieus drukmiddel is, of het nu om productiegegevens, contracten of personeelsdossiers gaat.

Wat ging er mis

Eerlijk: dat weten we niet precies. Wat het incident wel laat zien is de aard van moderne ransomware. Het gaat allang niet meer alleen om het versleutelen van bestanden. Data wordt eerst gekopieerd en daarna gebruikt als chantagemiddel. Een goede back-up beschermt je tegen versleuteling, maar niet tegen publicatie.

Dat verandert de vraag die je jezelf moet stellen. Niet alleen "kan ik alles terugzetten", maar ook "wat gebeurt er als dit openbaar wordt".

Wat YX Digital hieraan doet

We zetten endpoint-detectie in op de servers waarop jouw applicatie draait, zodat verdacht gedrag opvalt voordat het uitgroeit tot een incident. Denk aan processen die massaal bestanden aanpassen of ongebruikelijke uitgaande dataverbindingen.

Netwerksegmentatie beperkt de bewegingsruimte. Wie via de webserver binnenkomt, kan van daaruit niet zomaar doorlopen naar de database of naar andere systemen in je bedrijf.

En we leggen een incident-responsplan vast dat ook daadwerkelijk getest is. Wie belt wie, wie zet welk systeem offline, wie informeert klanten, en wanneer gaat de melding naar de Autoriteit Persoonsgegevens. Die melding moet binnen 72 uur na ontdekking van een datalek, en dat is korter dan het lijkt als je op dat moment nog moet uitzoeken wie waarvoor verantwoordelijk is.

Kan dit mijn MKB-bedrijf ook overkomen?

Ja, en de kans is groter dan bij Odido of AkzoNobel. Grote bedrijven hebben securityteams. Een bedrijf met twintig medewerkers heeft een ondernemer die er 's avonds naar kijkt.

Aanvallers selecteren bovendien niet meer op naam. Ze scannen geautomatiseerd het internet op verouderde software, openstaande beheerpagina's en bekende kwetsbaarheden. Of ze sturen duizenden phishingmails en wachten tot iemand klikt. Of je nou 20 of 20.000 klanten hebt, in die scan zie je er hetzelfde uit.

Wat wél verschilt is de schade. Een groot concern overleeft een week storing. Voor een webshop die een week uit de lucht ligt in het hoogseizoen is dat een ander verhaal.

Is mijn website of webshop kwetsbaar?

Dat hangt van een paar dingen af die je vandaag zelf kunt nakijken:

- Draait je CMS, je webshopplatform en draaien je plugins op de nieuwste versie? Verouderde plugins zijn de meest voorkomende ingang bij MKB-websites.

- Staat er twee-factor-authenticatie aan op alle beheerdersaccounts?

- Hebben oud-medewerkers of oude leveranciers nog toegang tot je hosting, CMS of domeinnaam?

- Worden er automatisch back-ups gemaakt, en heb je ooit getest of terugzetten werkt?

- Draait je site volledig over HTTPS, ook de formulieren en de beheeromgeving?

- Sla je klantgegevens op die je eigenlijk niet gebruikt?

Kun je een van deze vragen niet met zekerheid beantwoorden, dan is dat het startpunt. Niet omdat je meteen gehackt wordt, maar omdat dit de onderdelen zijn waar aanvallen in de praktijk beginnen. Wij nemen die punten standaard mee wanneer we een nieuwe website bouwen of een webshop opleveren.

Hoe train ik mijn medewerkers hiertegen?

Het Odido-scenario laat zien dat dit geen IT-vraagstuk is maar een mensvraagstuk. Drie afspraken helpen het meest, en ze kosten niets:

Spreek af dat inloggegevens nooit telefonisch of per mail worden gedeeld. Nooit, ook niet met de IT-afdeling, ook niet als het spoed is. Wie belt en dat toch vraagt, is per definitie geen collega.

Spreek af dat een medewerker altijd mag terugbellen op een bekend nummer voordat hij iets doet. Geef daar expliciet toestemming voor. De reden dat social engineering werkt, is dat mensen bang zijn onbehulpzaam te lijken. Neem die angst weg.

En zorg dat een fout melden makkelijker is dan hem verzwijgen. De medewerker die binnen vijf minuten zegt "ik heb geloof ik op iets verkeerds geklikt", is je beste beveiligingsmaatregel. Wie bang is voor een reprimande, wacht een dag. In dat verschil zit het hele datalek.

Wat kun je nu concreet doen?

Als je vandaag drie dingen doet: zet twee-factor-authenticatie aan op alle beheerdersaccounts, controleer of je back-ups echt terug te zetten zijn, en trek de toegang in van iedereen die niet meer voor of met je werkt. Dat kost een middag en dekt een groot deel van de meest voorkomende scenario's af.

Wat daarna komt, hangt af van wat je bouwt en wat je bewaart. Beveiliging is geen product dat je aanzet, het is een reeks keuzes die je maakt bij het inrichten van je website, je webshop en je koppelingen. Wie welke rechten heeft. Welke gegevens je opslaat. Wat er gebeurt als het misgaat.

Wij bouwen die keuzes standaard in, in plaats van ze achteraf als extra aan te bieden. Niet omdat we een sluitende garantie kunnen geven, want die bestaat niet, maar omdat het verschil tussen "we zijn geraakt" en "we hebben een datalek" bijna altijd in die keuzes zit.

---

Benieuwd hoe veilig jouw website of webapplicatie is?

Bij YX Digital bouwen en beheren we websites en webapplicaties voor Nederlandse MKB-bedrijven, met beveiliging als onderdeel van het ontwerp in plaats van als losse post op de offerte. We kijken graag mee naar wat er nu draait: welke koppelingen er zijn, wie waar toegang toe heeft en waar de grootste risico's zitten.

Plan een vrijblijvend gesprek met YX Digital en we lopen het samen door. Geen jargon, geen bangmakerij. Gewoon een eerlijk beeld van waar je staat en wat er als eerste aandacht verdient.