Nederlandse bedrijven worden steeds vaker doelwit van gerichte e-mailfraude, waarbij aanvallers gemiddeld 24 dagen ongemerkt toegang houden tot mailboxen. Dit blijkt uit het Incident Response Report 2026 van cybersecuritybedrijf Eye Security, dat 630 cyberincidenten bij organisaties in de Benelux en Europa tussen 2023 en 2025 analyseerde. Het rapport biedt een van de weinige trendinzichten gebaseerd op daadwerkelijke incidentresponsdata uit Europa, in tegenstelling tot meldingen, enquêtes of schattingen. Volgens Eye Security geeft dit een realistisch beeld van hoe aanvallen verlopen en waarom ze vaak wekenlang onopgemerkt blijven.

E-mailfraude domineert

Meer dan 70% van de onderzochte incidenten betreft Business Email Compromise (BEC), waarbij criminelen bestaande e-mailaccounts misbruiken. In ruim 40% van de gevallen volstond één enkel phishingmoment om binnen te komen.

Eenmaal binnen handelen aanvallers vaak langzaam en strategisch. Ze lezen mee, observeren financiële processen en passen communicatie subtiel aan. Hoewel financiële schade snel kan ontstaan, blijft de aanval zelf wekenlang onder de radar.

“In veel Nederlandse organisaties wordt cyberdreiging nog steeds als een puur technisch probleem gezien,” zegt Lodi Hensen, VP Security Operations bij Eye Security. “In de praktijk zien we dat aanvallers vooral vertrouwen en dagelijkse werkprocessen benutten.”

Gebruikersidentiteiten belangrijker dan techniek

Het rapport benadrukt dat digitale identiteiten en gebruikersaccounts het belangrijkste aanvalsvlak zijn geworden. Aanvallers doen zich voor als collega’s, leveranciers of managers en maken gebruik van bestaande vertrouwensrelaties.

Zelfs multi-factor authentication (MFA) biedt geen volledige zekerheid. Sinds begin 2025 wisten aanvallers in 62% van de gevallen MFA te omzeilen, bijvoorbeeld doordat medewerkers onbewust een login bevestigden of omdat aanvallers al actief waren binnen een bestaande sessie.

“Een aanval voelt zelden als een aanval,” aldus Hensen. “Het lijkt vaak op normaal werk, met kleine afwijkingen die in de dagelijkse drukte gemakkelijk over het hoofd worden gezien.”

Ransomware minder vaak, maar met grote impact

Naast e-mailfraude blijft ransomware een groot risico. De gemiddelde losgeldeis lag op 613.000 dollar, met uitschieters boven de miljoen. Deze aanvallen starten meestal niet via complexe hacks, maar door bekende kwetsbaarheden zoals slecht beveiligde applicaties, onveilige remote toegang of phishing.

Sectoren als industrie, bouw en logistiek worden relatief hard getroffen, omdat stilstand direct leidt tot financiële verliezen.

Snelle detectie maakt het verschil

Organisaties met continue monitoring merken een groot verschil in impact. Bij klanten met Managed Detection & Response werd e-mailfraude gemiddeld binnen 24 minuten ontdekt, tegenover meer dan 24 dagen bij organisaties zonder actieve detectie.

“Het rapport laat zien hoe groot het verschil is tussen aannemen dat alles goed gaat en daadwerkelijk weten wat er gebeurt,” zegt Hensen. “Wie ervan uitgaat dat alles veilig is, ziet de aanval vaak pas als de schade al is aangericht.”

Over Eye Security

Eye Security is een Europese cybersecurityspecialist die organisaties ondersteunt bij het vroegtijdig detecteren en stoppen van cyberaanvallen. Vanuit een 24/7 security operations center analyseert het bedrijf dagelijks actieve aanvallen in de Benelux en Europa. Deze praktijkervaring vormt de basis voor data-gedreven inzichten en een geïntegreerde aanpak van Managed Detection & Response, waarin AI-technologie, security-expertise en cyberverzekering samenkomen.