Audit van externe toegang: wat een hacker ziet
Bijgewerkt op 2 november 2026.
De vloek van internet
Internet is zo ontworpen dat elke machine elke andere kan bereiken. Dat maakt het zo handig: uw camera's bekijken op uw smartphone, de koeltechnicus de koelcel laten opvolgen, van thuis uit op de server van het kantoor werken. Het is ook de vloek ervan: wat u van overal kunt bereiken, kan iedereen proberen te bereiken.
Voorbeelden genoeg:
- Oktober 2026, koelkasten van supermarkten: in Frankrijk namen hackers de koelsturingen van honderden winkels over en startten ze de ontdooicyclus. We beschreven het uitgebreid in ons artikel over verbonden toestellen.
- Een casino en zijn aquarium: in 2018 vertelde Nicole Eagan, CEO van het beveiligingsbedrijf Darktrace, hoe hackers het netwerk van een casino binnendrongen via de verbonden thermometer van het aquarium in de lobby, en vertrokken met de databank van de grote spelers.
- Target en zijn onderaannemer: eind 2013 kwamen de hackers die de gegevens van 40 miljoen betaalkaarten stalen bij de Amerikaanse retailer Target binnen met de inloggegevens van een onderaannemer in verwarming en koeling, die netwerktoegang had voor facturatie en projectbeheer.
Een thermometer, een koelkast, het account van een leverancier: de deur is bijna nooit de deur die bewaakt wordt.
De deuren die hackers het eerst proberen
In een kmo vindt u bijna altijd dezelfde deuren naar internet terug. Dit zijn de meest geviseerde, van de meest voorkomende tot de meest onverwachte.
- Extern bureaublad van Windows (RDP). Het is de eenvoudigste manier om op afstand op een pc of server te werken, en de favoriet van hackers. Bij de incidenten die beveiligingsleverancier Sophos in 2023 behandelde, waren diensten voor toegang op afstand in 65 % van de gevallen de toegangspoort, en werd extern bureaublad door de aanvallers gebruikt, om binnen te komen of zich in het netwerk te verplaatsen, bij 90 % van de aanvallen. In één geval werd hetzelfde bedrijf vier keer in zes maanden gehackt via zijn open extern bureaublad.
- De VPN en de firewall. Ze moeten u beschermen, maar het zijn toestellen zoals alle andere, met hun eigen lekken. Volgens het Verizon-rapport van 2025 was 22 % van de inbraken via een softwarelek gericht op die "randapparaten", tegenover 3 % een jaar eerder. En over het jaar was maar ongeveer de helft (54 %) van de lekken in die toestellen volledig gedicht, met een mediane termijn van 32 dagen. In 2025 viseerde de ransomwaregroep Akira VPN's van SonicWall: ze gebruikte wachtwoorden die bij eerdere inbraken gestolen waren, vaak ongewijzigd na de vervanging van een oude firewall, en ging meestal in minder dan vier uur van aanmelding naar versleuteling van de gegevens, soms in 55 minuten.
- Software voor overname op afstand (TeamViewer, AnyDesk, ScreenConnect en andere). Uw informaticus of de leverancier van uw bedrijfssoftware gebruikt ze om u te helpen. Maar software die ooit voor één interventie werd geïnstalleerd, met een wachtwoord dat nooit werd gewijzigd, of een vroegere dienstverlener die zijn toegang hield, zijn evenveel sleutels die rondslingeren. Microsoft beschreef in 2025 inbraken die begonnen met het misbruiken van lekken in dit soort tools.
- De NAS (bestandsserver). Heel handig om uw documenten van buitenaf te bereiken, maar ook een bekend doelwit: in januari 2022 versleutelde de ransomware DeadBolt meer dan 3 600 NAS-toestellen van het merk QNAP die vanaf internet bereikbaar waren. De fabrikant raadde aan ze van internet te halen en port forwarding en UPnP op de router uit te schakelen.
- De website en haar software. Op 21 oktober 2026 brachten twee kritieke lekken in de programmeertaal PHP (bijgenaamd PHP2Shell), waarop een groot deel van de websites draait, talrijke organisaties ertoe hun sites offline te halen in afwachting van de correctie, in België en ook in Nederland en Frankrijk. Enkele dagen later voegde het Amerikaanse agentschap CISA ze toe aan zijn lijst van actief misbruikte lekken.
- Verbonden toestellen: camera's, alarm, toegangscontrole, verwarming, koelcel, laadpalen, omvormer van de zonnepanelen. Vaak door een derde geïnstalleerd, zelden bijgewerkt.
In België gaat het steeds sneller
Tussen 1 januari en 28 september 2026 ontving het CCB 588 meldingen van incidenten, nu al meer dan de 556 van heel 2025. Gecompromitteerde systemen werden het vaakst gemelde type incident, met drie keer zoveel meldingen als het vorige kwartaal. Bij de basismaatregelen die het zonder uitstel vraagt: meervoudige authenticatie voor beheerdersaccounts en toegang op afstand, actief misbruikte lekken eerst dichten, en de systemen die vanaf internet bereikbaar zijn beperken tot het strikt noodzakelijke. Het CCB vraagt bedrijfsleiders ook iemand verantwoordelijk te maken voor die maatregelen.
Met andere woorden: weten wat uw bedrijf aan internet toont is geen zaak meer voor specialisten, het is een beslissing van de bedrijfsleider.
Wat is een audit van externe toegang?
Het betekent uw bedrijf bekijken van buitenaf, door de ogen van een hacker, en voor elke gevonden deur drie vragen beantwoorden:
- Wat is zichtbaar vanaf internet? Adressen, toestellen, diensten, software en hun versies.
- Is het nodig? Veel deuren werden "voor één dag" geopend en nooit meer gesloten.
- Is wat open moet blijven beschermd? Bijgewerkt, met een eigen wachtwoord per toestel en tweestapsverificatie, alleen bereikbaar voor wie het nodig heeft.
Het is geen penetratietest: het doel is niet binnen te dringen, maar te inventariseren en te corrigeren. Het gaat sneller, kost minder en neemt het grootste deel van het risico weg.
Wat u zelf kunt nagaan
Reken op een uur, zonder bijzondere technische kennis.
1. Lijst op wie van buitenaf binnenkomt
Neem een blad papier en noteer voor elke persoon of firma die van buitenaf op uw systemen inlogt: wie, op wat, met welke tool, en wanneer voor het laatst.
| Wie | Te stellen vragen |
|---|---|
| U en uw medewerkers die thuiswerken | Op welke manier? Extern bureaublad, VPN, software voor overname op afstand? Tweestapsverificatie ingeschakeld? |
| Uw informaticus | Welke tool? Eén account per persoon? Wordt u van elke verbinding verwittigd? |
| Leveranciers van bedrijfssoftware (boekhouding, kassa, beheer) | Is hun toegang permanent of wordt ze op aanvraag geopend? |
| Installateurs (alarm, camera's, verwarming, koeling, zonnepanelen) | Is het toestel rechtstreeks vanaf internet bereikbaar? Is het standaardwachtwoord gewijzigd? |
| Vroegere dienstverleners en vroegere medewerkers | Zijn hun accounts en toegangssoftware verwijderd? |
Een regel waarop niemand kan antwoorden, is een deur die u eerst moet onderzoeken.
2. Schrijf u in bij Safeonweb@work
De dienst van het CCB voor Belgische bedrijven is volledig gratis. Na inschrijving krijgt u waarschuwingen over kwetsbaarheden en besmettingen die op uw netwerk zijn vastgesteld. Het CCB biedt ook een "Quick Scan"-rapport aan met een overzicht van beveiligingslekken en verbetermogelijkheden voor wat u online hebt, evenals een zelfevaluatie en het CyberFundamentals-kader.
3. Zoek uw adres op in Shodan
De zoekmachine Shodan brengt de toestellen in kaart die op internet zichtbaar zijn en wat ze blootgeven. Door het IP-adres van uw verbinding op te zoeken, ziet u wat een vreemde ziet. De werkwijze staat in ons artikel over verbonden toestellen.
4. Test de meest gebruikte deuren van uw verbinding
De gratis dienst ShieldsUP! (website grc.com) test vanaf internet de meest gebruikte poorten van de verbinding van waaruit u hem start. Start hem vanaf het kantoornetwerk, niet van thuis. Een poort die als "open" wordt gemeld, verdient een vraag aan uw informaticus. Een schoon resultaat garandeert niets: de test dekt niet alle deuren, en ook niet uw andere verbindingen.
5. Ruim de accounts op
Verwijder de accounts van vroegere medewerkers en dienstverleners, verwijder software voor overname op afstand die niemand nog gebruikt, en schakel tweestapsverificatie in waar het kan, te beginnen bij toegang op afstand en beheerdersaccounts.
Waar zelf doen ophoudt
Uw controle dekt het grootste deel van de bekende deuren. Ze heeft grenzen die hackers niet hebben:
- Vergeten deuren: een tweede internetlijn, het adres van een magazijn of winkel, een IPv6-adres, een onlinedienst die jaren geleden werd gehuurd.
- De volledige test: alle 65 535 mogelijke poorten van elk adres controleren, elke software en haar versie identificeren en ze vergelijken met bekende en actief misbruikte lekken.
- De configuratie: een firewall kan bijgewerkt en toch slecht ingesteld zijn (te ruime regels, beheer open op internet, vergeten lokale accounts).
- Het verleden: in de SonicWall-zaak waren de wachtwoorden maanden voor de aanval gestolen. De aanmeldingslogboeken van de VPN en de firewall lezen kan een inbraak aan het licht brengen die al bezig is.
- Corrigeren zonder iets te breken: een deur sluiten waarvan de kassa, de boekhouding of het thuiswerk afhangt, vraagt een andere oplossing, vaak een VPN met tweestapsverificatie.
De correcties, in volgorde van prioriteit
| Correctie | Inspanning | Kostprijs |
|---|---|---|
| Extern bureaublad (RDP) dat open staat op internet sluiten: via een VPN met tweestapsverificatie werken | Laag tot gemiddeld | Vaak niets |
| Firewall, VPN en NAS bijwerken; wachtwoorden wijzigen als het toestel met een kwetsbare versie heeft gedraaid | Laag | Niets |
| Ongebruikte accounts en toegangssoftware verwijderen (vroegere medewerkers, vroegere dienstverleners) | Laag | Niets |
| Tweestapsverificatie op alle toegang op afstand en beheerdersaccounts | Laag | Niets tot weinig |
| UPnP en onnodige port forwarding op de router uitschakelen | Laag | Niets |
| Toestellen die er niets te zoeken hebben van internet halen (NAS, camera's, sturingen); toegang via VPN of het portaal van de fabrikant | Gemiddeld | Weinig |
| Toestellen vervangen die de fabrikant niet meer bijwerkt | Gemiddeld | Aankoop van hardware |
| De inventaris elk kwartaal en na elke wijziging opnieuw maken (nieuwe dienstverlener, nieuw toestel, verhuis) | Laag | Enkele uren per jaar |
Om een open extern bureaublad te vervangen door een VPN, hebt u een router nodig die dat aankan. Twee voorbeelden, van eenvoudig tot uitgebreid:
Concreet: drie opties
| Optie | Wat het kost | Het risico |
|---|---|---|
| Niets doen | Niets, zolang er niets gebeurt | Eén vergeten deur volstaat: ransomware, gestolen gegevens, activiteit dagenlang stilgelegd |
| Zelf nagaan | Een à twee uur, met de lijst hierboven, Safeonweb@work en Shodan | Een deur over het hoofd zien, of niet weten hoe te corrigeren zonder de activiteit te blokkeren |
| Een externe audit laten uitvoeren | Enkele uren audit, daarna de correcties | Het laagste: volledige inventaris van uw adressen, bekende lekken gecontroleerd, logboeken nagelezen, geprioriteerd correctieplan |
Voorbeeld (illustratief geval): een boekhoudkantoor met acht medewerkers. De inventaris brengt vier deuren aan het licht: het extern bureaublad van de server, sinds de lockdown open op internet "voor het thuiswerk"; een TeamViewer die een vroegere informaticus installeerde en die nog actief is; de NAS, van buitenaf bereikbaar via port forwarding; een firewall die al twee jaar niet is bijgewerkt. Correcties: thuiswerk via een VPN met tweestapsverificatie, extern bureaublad aan de internetkant gesloten, TeamViewer verwijderd, NAS alleen via de VPN bereikbaar, firewall bijgewerkt en al zijn wachtwoorden gewijzigd. Kostprijs: een halve dag werk, geen aankoop.
Voor uw informaticus
- Alle publieke adressen inventariseren: tweede lijnen, externe vestigingen, IPv6, DNS-records (vergeten subdomeinen), clouddiensten en hosting.
- Externe scan vanaf een verbinding van derden, alleen op adressen waarvoor u een opdracht hebt:
nmap -p- -sVover TCP, plus de gebruikelijke UDP-poorten (500/4500 IPsec, 1194 OpenVPN, 51820 WireGuard, 161 SNMP). - Shodan
net:<bereik>en Censys voor de historiek; Shodan Monitor voor een waarschuwing bij elke nieuw blootgestelde dienst. - Blootgestelde versies vergelijken met de CISA KEV-catalogus en de waarschuwingen van het CCB (bv. 28/10/2026: Cisco Secure Firewall ASA/FTD).
- RDP: nooit blootgesteld; RD Gateway of VPN met MFA. Controleer ook port forwarding en UPnP op de router.
- Firewall en VPN: beheerinterface gesloten aan de WAN-kant, ongebruikte lokale accounts verwijderd. SonicWall: na een versie die kwetsbaar was voor CVE-2024-40766, alle opgeslagen geheimen resetten (SSL VPN-wachtwoorden, OTP-seeds, gesynchroniseerde LDAP-accounts) en de standaardgebruikersgroep van SSLVPN nakijken.
- Tools voor overname op afstand: inventaris op alle toestellen, allowlist (App Control / AppLocker), één account op naam per technicus met MFA.
- Logboeken: VPN-aanmeldingen vanaf hostingproviders (VPS) in plaats van internetproviders, aanmeldingen buiten de uren, onverwachte accounts.
- PHP: gecorrigeerde versies voor PHP2Shell (CVE-2026-109618, CVE-2026-109619): 8.5.12, 8.4.27, 8.3.36 en 8.2.35; oudere versies krijgen geen correctie.
Test uzelf
Bronnen
Arctic Wolf. (2025). September 2025 update on aggressive ongoing Akira ransomware campaign. https://arcticwolf.com/resources/blog/september-2025-update-ongoing-akira-ransomware-campaign/
Centrum voor Cybersecurity België. (2023, 14 november). Safeonweb devient grande sœur ! news.belgium.be. https://news.belgium.be/fr/node/35190
Centrum voor Cybersecurity België. (2026, 15 oktober). Figures show a steady rise in incidents: the CCB urges enterprises to act immediately. https://ccb.belgium.be/news/figures-show-steady-rise-incidents-ccb-urges-enterprises-act-immediately
Cimpanu, C. (2022, 28 januari). Deadbolt ransomware hits more than 3,600 QNAP NAS devices. The Record. https://therecord.media/deadbolt-ransomware-hits-more-than-3600-qnap-nas-devices/
Jonkers, J. (2026, 16 oktober). CCB sounds the alarm: cyber incidents at Belgian companies already exceed 2025 totals. ITdaily. https://itdaily.com/blogs/security/ccb-more-cyber-incidents-in-belgium/
Krebs, B. (2014, 5 februari). Target hackers broke in via HVAC company. Krebs on Security. https://krebsonsecurity.com/2014/02/target-hackers-broke-in-via-hvac-company/
Microsoft Security Experts. (2025). Keys to the kingdom: RMM exploits enabling human-operated intrusions in 2024–25. Microsoft Community Hub. https://techcommunity.microsoft.com/t5/microsoft-security-experts-blog/keys-to-the-kingdom-rmm-exploits-enabling-human-operated/ba-p/4410903
Paganini, P. (2018, 16 april). Attackers exfiltrated a casino's high-roller list through a connected fish tank. Security Affairs. https://securityaffairs.com/71433/hacking/fish-tank-hack.html
RTBF. (2026, 21 oktober). Une faille informatique mondiale met de nombreux sites internet en état d'alerte. https://www.rtbf.be/article/une-faille-informatique-mondiale-met-de-nombreux-sites-internet-en-etat-d-alerte-11803667
Sophos. (2024). Cybercriminals abuse Remote Desktop Protocol (RDP) in 90% of attacks handled by Sophos incident response in 2023, Sophos' newest Active Adversary report finds. https://www.sophos.com/en-us/press/press-releases/2024/04/cybercriminals-abuse-remote-desktop-protocol-rdp-90-attacks-handled
Verizon. (2025). 2025 Data Breach Investigations Report. https://www.verizon.com/business/resources/reports/dbir/
watchTowr. (2026, 26 oktober). CVE-2026-109618: Exploited remote code execution in PHP. https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
Zorz, Z. (2025, 29 september). Akira ransomware: From SonicWall VPN login to encryption in under four hours. Help Net Security. https://www.helpnetsecurity.com/2025/09/29/akira-ransomware-sonicwall-vpn/