In het kort
- Oktober is Cybersecurity Awareness Month; Zoho zet de maand in het teken van een veiligheidsbewust personeelsbestand.
- Zoho vertrekt van een echt voorbeeld: een Brits transportbedrijf van 158 jaar oud met 500 vrachtwagens dat na een ransomware-aanval ophield te bestaan.
- De aanvallers kwamen binnen via een zwak wachtwoord, op systemen zonder tweestapsverificatie.
- Technische normen en een cyberverzekering bleken niet genoeg; gedrag en basisafspraken maken het verschil.
- Met een wachtwoordbeheerder zoals Zoho Vault en verplichte tweestapsverificatie verkleint u het risico aanzienlijk.
Elk jaar staat oktober in het teken van Cybersecurity Awareness Month. Zoho opent de maand met een verhaal dat binnenkomt: stel dat u een transportbedrijf leidt dat al 158 jaar bestaat, met 500 vrachtwagens op de weg. Uw IT voldoet aan de gangbare normen en u bent verzekerd tegen cyberaanvallen. Op een ochtend ligt alles stil. Uw gegevens zijn versleuteld en er wacht een bericht: "If you're reading this it means the internal infrastructure of your company is fully or partially dead."
Dat is geen verzonnen scenario. Het overkwam in 2025 het Britse KNP Logistics Group. De ransomwaregroep Akira raadde het zwakke wachtwoord van een medewerker, op systemen die vanaf het internet bereikbaar waren zonder tweestapsverificatie. Ook de back-ups en de herstelvoorzieningen werden vernietigd. Het bedrijf ging binnen enkele weken in vereffening en ongeveer 700 mensen verloren hun job.
Het zwakste punt is zelden de technologie
Het opvallende aan dit verhaal is niet de verfijning van de aanval, maar de eenvoud ervan. Er was geen geavanceerde inbraak in software nodig. Eén voorspelbaar wachtwoord en het ontbreken van een tweede controlestap volstonden. Het bedrijf had nochtans zijn huiswerk op papier gemaakt: IT volgens de normen en een cyberverzekering. Toch bleek dat onvoldoende, omdat de basis niet sloot.
Voor KMO's in België en MKB-bedrijven in Nederland is dat een herkenbaar patroon. Er wordt geïnvesteerd in een firewall of een back-up, maar wachtwoorden worden nog altijd hergebruikt, gedeeld via e-mail of chatberichten, of bewaard in een rekenblad. Wie vertrekt, behoudt soms nog weken toegang. En wie ooit een wachtwoord instelde voor een gedeelde account, is vaak de enige die het kent.
Daarom legt Zoho dit jaar de nadruk op een veiligheidsbewust personeelsbestand. Veiligheid is geen taak voor één IT-verantwoordelijke, maar een gewoonte die iedereen in de organisatie moet dragen, van de zaakvoerder tot de stagiair.
Drie basisafspraken die het verschil maken
De eerste afspraak is eenvoudig: elk systeem dat vanaf het internet bereikbaar is, krijgt tweestapsverificatie. Een wachtwoord alleen is te kwetsbaar. Met een tweede stap, bijvoorbeeld een bevestiging via een app op de smartphone, houdt een geraden of gestolen wachtwoord de deur nog dicht. Bij KNP ontbrak precies die stap.
De tweede afspraak gaat over het wachtwoord zelf. Sterke, unieke wachtwoorden per toepassing zijn de norm, maar niemand onthoudt er tientallen. Een wachtwoordbeheerder lost dat op. In Zoho Vault bewaart u wachtwoorden versleuteld en deelt u ze binnen het team zonder dat ze in een mail of chatbericht belanden. U bepaalt wie toegang heeft tot welke gegevens, en wanneer iemand vertrekt, trekt u die toegang centraal in. Zoho Vault ondersteunt ook het beheer van passkeys, de opvolger van het klassieke wachtwoord.
De derde afspraak is bewustwording. Medewerkers moeten een verdachte mail of een vreemde inlogvraag herkennen en weten wie ze moeten verwittigen. Een korte, herhaalde opleiding werkt beter dan één lange sessie per jaar. Cybersecurity Awareness Month is een goed moment om dat gesprek te starten.
Wat betekent dit voor uw organisatie?
Begin met een eerlijke inventaris. Welke toepassingen gebruikt uw team, wie heeft er toegang toe, en waar staat tweestapsverificatie al aan? Vaak blijken gedeelde accounts, oude testaccounts en toegang van ex-medewerkers het grootste risico. Dat zijn ook de zaken die het snelst op te lossen zijn.
Denk daarnaast aan uw back-ups. Bij KNP werden ook de reservekopieën vernietigd, waardoor herstel zonder betaling onmogelijk werd. Bewaar minstens één kopie gescheiden van uw gewone netwerk en test regelmatig of herstellen echt lukt.
Vergeet ten slotte de wettelijke kant niet. Wie persoonsgegevens verwerkt, moet onder de GDPR passende beveiligingsmaatregelen nemen. Een datalek door een zwak wachtwoord is dan niet alleen een operationeel probleem, maar ook een meldingsplicht en een risico op reputatieschade. Meer over wachtwoordbeheer voor teams leest u op de productpagina van Zoho Vault.
Veelgestelde vragen
Is een cyberverzekering niet voldoende?
Nee. Een verzekering kan een deel van de financiële schade dekken, maar voorkomt geen aanval en herstelt uw gegevens niet. Het voorbeeld van KNP toont dat een verzekerd bedrijf met IT volgens de normen toch kan verdwijnen. Bovendien stellen verzekeraars steeds vaker voorwaarden, zoals tweestapsverificatie op externe toegang. Wie die basis niet op orde heeft, loopt het risico dat de dekking beperkt wordt. Zie de verzekering dus als vangnet, niet als beveiliging.
Wat is tweestapsverificatie precies?
Bij tweestapsverificatie bewijst u uw identiteit op twee manieren: met iets wat u weet, zoals een wachtwoord, en met iets wat u hebt, zoals uw smartphone. Ook als iemand uw wachtwoord raadt of steelt, komt hij zonder die tweede stap niet binnen. Voor Zoho-toepassingen kan dat bijvoorbeeld via een authenticatie-app. Schakel het in de eerste plaats in op e-mail, CRM, boekhouding en alles wat van buitenaf bereikbaar is.
Waarom een wachtwoordbeheerder als we nu ook een rekenblad gebruiken?
Een rekenblad met wachtwoorden is een open boek voor wie er toegang toe krijgt, en het geeft geen zicht op wie wat gebruikt. Een wachtwoordbeheerder zoals Zoho Vault bewaart wachtwoorden versleuteld, laat u ze veilig delen binnen het team en houdt bij wie toegang had. Wanneer een medewerker vertrekt, trekt u de toegang centraal in. Dat bespaart werk en vermindert het risico dat oude toegangen blijven bestaan.
Hoe betrek ik mijn medewerkers zonder hen te overladen?
Houd het kort en concreet. Een sessie van een half uur over herkenbare voorbeelden, zoals een valse factuurmail of een vreemde inlogvraag, werkt beter dan een uitgebreide theorieles. Herhaal de boodschap enkele keren per jaar en maak duidelijk wie men moet verwittigen bij twijfel. Cybersecurity Awareness Month biedt een natuurlijke aanleiding. Wie vroeg meldt, mag nooit gestraft worden; dat houdt de drempel laag.
Waar begin ik als KMO of MKB-bedrijf?
Begin bij de drie basisafspraken: tweestapsverificatie op alle externe toegang, unieke wachtwoorden via een wachtwoordbeheerder en een korte bewustmakingssessie. Maak daarna een lijst van gedeelde accounts en toegangen van ex-medewerkers en ruim die op. Controleer ook of minstens één back-up gescheiden van uw netwerk staat. Die stappen vragen weinig budget, maar verkleinen het risico sterk. Werkt u al met Zoho, dan sluiten Zoho Vault en de ingebouwde tweestapsverificatie daar rechtstreeks op aan.
