RaaS begrijpen en ransomware-aanvallen voorkomen

Key Takeaways

• RaaS is een affiliate-model: operators bouwen en onderhouden de ransomware- en betalingsinfrastructuur, affiliates voeren de aanvallen uit en beide partijen delen het losgeld, meestal in een verhouding van 70/30 tot 80/20, waarbij de affiliate in het voordeel is.
• Initial Access Brokers (IAB's) zijn een aparte specialistische rol die gestolen inloggegevens of toegang tot netwerken verkoopt aan RaaS-partners, waardoor de tijd tussen inbreuk en encryptie wordt verkort.
• Dubbele afpersing, waarbij gegevens worden versleuteld en een kopie wordt gestolen om te dreigen met een openbaar lek, is nu de standaardmethode bij RaaS-campagnes; sommige campagnes voegen een derde drukmiddel toe, zoals een DDoS-aanval of het rechtstreeks benaderen van de klanten van het slachtoffer (drievoudige afpersing).
• RansomHub, een van de meest actieve RaaS-merken van 2024 tot begin 2025, ging op 1 april 2025 offline; aangesloten bedrijven zouden zijn overgestapt naar Qilin, en andere groepen hebben delen van de infrastructuur in handen gekregen.
• Akira, Qilin en Medusa behoorden tot de meest actieve RaaS-operaties die tot 2025 werden gevolgd en waren samen verantwoordelijk voor het merendeel van de waargenomen ransomware-incidenten, terwijl LockBit weliswaar verstoord is, maar niet volledig is uitgeschakeld na Operatie Cronos van de wetshandhaving in februari 2024.
• Uit het Data Breach Investigations Report 2025 van Verizon blijkt dat ransomware aanwezig was in 44% van alle datalekken en in 88% van de datalekken bij kleine en middelgrote bedrijven, ondanks dat de gemiddelde en mediane losgeldbetalingen in 2025 daalden.

Gepubliceerd: juli 2023. Bijgewerkt: augustus 2026. Beoordeeld door het beveiligingsteam van Encryption Consulting.

Wat is ransomware-as-a-service (RaaS) en hoe werkt het affiliate-model?

Ransomware-as-a-Service (RaaS) is een crimineel bedrijfsmodel waarbij een groep ontwikkelaars, vaak operators genoemd, ransomware, een onderhandelings- en betalingsplatform en een dataleksite bouwt en onderhoudt. Vervolgens verhuren ze deze toolkit aan partners in ruil voor een deel van het geïnde losgeld. Het is de kwaadaardige tegenhanger van Software-as-a-Service: in plaats van een abonnement op productiviteitssoftware, neemt een partner een abonnement op een werkende ransomwarekit en de infrastructuur om deze uit te voeren, zonder zelf ook maar één regel malwarecode te hoeven schrijven.

De RaaS-toeleveringsketen omvat doorgaans drie verschillende rollen. Operators ontwikkelen de encryptiepayload, beheren het partnerpaneel, hosten de leksite die wordt gebruikt om slachtoffers die niet betalen onder druk te zetten, en voeren vaak de losgeldonderhandelingen. Affiliates zijn de aanvallers die daadwerkelijk inbreken in het netwerk van een slachtoffer, zich lateraal verplaatsen, back-ups uitschakelen en de payload implementeren; zij houden het grootste deel van het losgeld, doorgaans in de verhouding van 70/30 tot 80/20 in het voordeel van de affiliate, aangezien de affiliate het grootste operationele risico draagt. Initial Access Brokers (IAB's) vormen een aparte specialiteit: zij compromitteren netwerken via phishing, blootgestelde Remote Desktop Protocol (RDP), kwetsbare VPN-apparaten of blootgestelde Remote Monitoring and Management (RMM)-tools, en verkopen die toegang vervolgens aan affiliates op criminele marktplaatsen, waardoor de tijd tussen een netwerkcompromis en de ransomware-implementatie wordt verkort.

Deze taakverdeling maakt RaaS (Ranking as a Service) gevaarlijk: een minder bekwame partner die nooit functionele ransomware zou kunnen schrijven, kan toch een technisch geavanceerde dubbele afpersingsaanval uitvoeren tegen een goed beveiligde organisatie, omdat het harde technische werk al is gedaan en als dienst wordt verkocht. Bijna alle huidige RaaS-operaties maken gebruik van dubbele afpersing , waarbij de bestanden van het slachtoffer worden versleuteld en tegelijkertijd een kopie van gevoelige gegevens wordt gestolen. Vervolgens wordt gedreigd die gegevens op een lekwebsite te publiceren als het losgeld niet wordt betaald, waardoor de oude verdediging van het simpelweg herstellen vanuit een back-up teniet wordt gedaan. Sommige campagnes escaleren naar drievoudige afpersing , waarbij een derde drukmiddel wordt toegevoegd, zoals een DDoS-aanval (Distributed Denial of Service) op de publiekelijk toegankelijke systemen van het slachtoffer of directe benadering van de klanten, werknemers of toezichthouders van het slachtoffer.

Ransomware die via RaaS wordt verspreid, is slechts één variant van een bredere categorie ransomware, waaronder ook scareware (nep-malware-waarschuwingen die gebruikers ertoe verleiden te betalen voor een frauduleuze oplossing), schermvergrendelingen (die de toegang tot apparaten blokkeren in plaats van bestanden te versleutelen) en op zichzelf staande cryptoware die door één groep wordt ontwikkeld en beheerd. RaaS onderscheidt zich van deze drie doordat het een bedrijfsmodel en distributiekanaal is, geen payloadtype: hetzelfde RaaS-platform kan worden gebruikt voor versleuteling, datadiefstal of beide, afhankelijk van welke partner de aanval uitvoert.

Hoe heeft RaaS zich ontwikkeld tot een crimineel bedrijfsmodel? Een tijdlijn

RaaS is niet van de ene op de andere dag ontstaan; het is in ongeveer een decennium geëvolueerd van ransomware met één operator naar een gespecialiseerde criminele economie met meerdere partijen, waarbij elke grote verstoring bepaalt welke groepen vervolgens de overhand krijgen.

• 2016: Cerber behoort tot de eerste, breed gedocumenteerde ransomwarefamilies die expliciet als een dienst op de markt werden gebracht, waarbij partners de payload en infrastructuur konden leasen in ruil voor een deel van de inkomsten.
• 2018 naar 2019: GandCrab groeide uit tot een van de meest productieve RaaS-operaties van zijn tijd; de beheerders kondigden in 2019 publiekelijk hun terugtrekking aan, waarna beveiligingsonderzoekers een groot deel van het aangesloten netwerk en de code van GandCrab in verband brachten met de RaaS-groep die bekend werd als REvil (Sodinokibi).
• 2020 naar 2021: REvil en DarkSide hebben dubbele afpersing populair gemaakt als de standaardmethode voor RaaS (Remote as a Service). De aanval van DarkSide op Colonial Pipeline in mei 2021 heeft RaaS van een niche-beveiligingsthema naar de mainstream nationale veiligheidsaandacht gebracht.
• Juli 2021: Aangesloten bedrijven van REvil misbruiken een zero-day-vulnerabiliteit in Kaseya VSA, een tool voor monitoring en beheer op afstand, om ransomware te verspreiden naar ongeveer 60 managed service providers en tot wel 1,500 bedrijven in de toeleveringsketen via één enkele aanval; zie het rapport van Encryption Consulting. Casestudy over de Kaseya VSA-aanval voor de volledige, geverifieerde tijdlijn.
• 2022: Interne chatlogs van de Conti RaaS-groep zijn openbaar gemaakt na Conti's standpunt over de Russisch-Oekraïense oorlog. Hierdoor worden de interne economie, de gebruikte tools en de managementstructuur van een grote RaaS-onderneming in ongekend detail blootgelegd.
• Februari 2024: Een internationale coalitie van wetshandhavingsinstanties onder leiding van de Britse National Crime Agency, genaamd Operation Cronos, nam de infrastructuur, het partnerpanel en de decryptiesleutels van LockBit in beslag, waardoor het op dat moment meest actieve RaaS-merk werd ontwricht; delen van de groep bleven daarna nog beperkt actief.
• April 1, 2025: RansomHub, een van de meest actieve RaaS-merken tot en met 2024 en begin 2025, verdwijnt van het toneel; aangesloten bedrijven zouden naar Qilin verhuizen, terwijl andere groepen beweren delen van de infrastructuur te hebben overgenomen.
• 2025 naar 2026: Akira, Qilin en Medusa behoren tot de meest actieve RaaS-operaties die worden gevolgd en zijn samen verantwoordelijk voor meer dan de helft van de waargenomen ransomware-incidenten in 2025, zelfs nu de gerapporteerde gemiddelde en mediane losgeldbetalingen dalen ten opzichte van 2024.

Op welke technologieën en systemen richten RaaS-partners zich doorgaans?

RaaS-partners richten zich op alles wat hen de snelste weg biedt naar brede, bevoorrechte toegang, meestal internetgerichte infrastructuur voor toegang op afstand en identiteitssystemen in plaats van individuele eindpunten. Veelvoorkomende doelwitten zijn onder andere blootgestelde RDP- en VPN-apparaten, tools voor bewaking en beheer op afstand (RMM) die worden gebruikt door managed service providers, Active Directory en andere identiteitsinfrastructuur, back-up- en snapshot-systemen (die eerst worden uitgeschakeld of verwijderd om het herstelpad te blokkeren), cloudopslag en SaaS-gegevens die worden gebruikt voor de exfiltratiekant van dubbele afpersing, en code-ondertekeningscertificaten en -sleutels, die aanvallers stelen of frauduleus verkrijgen om een ​​kwaadaardige payload of update er legitiem ondertekend uit te laten zien, zoals gedocumenteerd in het artikel van Encryption Consulting over de diefstal van MSI-code-ondertekeningssleutels in 2023.

Wat is de werkelijke impact van een RaaS-aanval op het bedrijfsleven?

De kosten van een RaaS-aanval reiken veel verder dan de losgeldeis zelf en omvatten downtime, herstelwerkzaamheden, juridische risico's en reputatieschade. Uit recente gegevens blijkt dat zowel de frequentie als de financiële omvang van deze impact van jaar tot jaar veranderen.

• Uit het Data Breach Investigations Report 2025 van Verizon blijkt dat ransomware aanwezig was in 44% van alle datalekken, een stijging van 37% ten opzichte van het voorgaande jaar, en in 88% van de datalekken die specifiek kleine en middelgrote bedrijven troffen, tegenover 39% bij grotere organisaties.
• Volgens Sophos bedraagt ​​het gemiddelde losgeldbedrag in 2025 ongeveer 1 miljoen dollar, een daling van 50% ten opzichte van het gemiddelde van ongeveer 2 miljoen dollar in 2024. Palo Alto Networks schatte het mediane losgeldbedrag voor 2025 op 267,500 dollar.
• Het totale aantal ransomware-aanvallen bleef tot en met 2025 stijgen, ondanks de dalende uitbetalingsbedragen. Beveiligingsonderzoekers schrijven dit over het algemeen toe aan het feit dat meer organisaties weigeren te betalen, in combinatie met de aanhoudende groei van het aantal actieve RaaS-partners en -groepen.
• Naast de directe betaling dragen organisaties ook kosten voor incidentafhandeling, systeemherstel, wettelijke meldingen, klantverlies en, in gevallen van dubbele afpersing, het voortdurende risico dat gelekte gegevens opnieuw worden gebruikt voor vervolgfraude of een tweede afpersingspoging.

Wat zijn de vroege waarschuwingssignalen van een RaaS-aanval die gaande is?

De meeste RaaS-inbraken laten detecteerbare signalen achter ruim voordat de encryptie begint, en het opsporen ervan in dit stadium is veel goedkoper dan herstel achteraf. Beveiligingsteams moeten elk van de volgende signalen als een indicator met hoge prioriteit beschouwen, en niet als routinematige ruis:

• Onverwachte installatie of gebruik van legitieme tools voor toegang op afstand of RMM-tools die niet door de IT-afdeling zijn geïmplementeerd.
• Nieuwe of gewijzigde beheerdersaccounts, of gebeurtenissen met betrekking tot privilege-escalatie buiten een wijzigingsvenster.
• Beveiligingstools, EDR-agents of back-upagents worden uitgeschakeld, verwijderd of gemanipuleerd.
• Ongebruikelijke uitgaande gegevensoverdrachten of verbindingen met onbekende cloudopslaglocaties, wat wijst op gegevens die worden klaargezet voor exfiltratie voorafgaand aan versleuteling.
• Een piek in mislukte authenticatiepogingen, gevolgd door succesvolle laterale verplaatsing tussen systemen.
• Een onverwacht of nieuw uitgegeven codeondertekeningscertificaat, of een ondertekeningssleutel die afkomstig is van een onbekende locatie of een onbekend systeem.
• Testbestanden worden hernoemd of gedeeltelijk versleuteld op een klein aantal systemen, vaak het laatste zichtbare signaal vóór een grootschalige uitrol.

Hoe kunnen organisaties RaaS-aanvallen voorkomen en verhelpen? Een genummerde checklist

Er bestaat geen enkele beveiligingsmaatregel die elke RaaS-variant tegenhoudt, aangezien aangesloten partijen de toegangsweg kiezen die het gemakkelijkst is tegen een bepaald doelwit. De volgende stappen dichten de specifieke lacunes waarop RaaS-partners en initiële toegangsbrokers het meest vertrouwen, en maken daarbij gebruik van de bredere richtlijnen van Encryption Consulting over ransomware en hoe ransomware-aanvallen te voorkomen.

1. Dwing multifactorauthenticatie (MFA) af op elk pad voor toegang op afstand, inclusief RDP, VPN en RMM-consoles, en verwijder waar mogelijk directe internettoegang tot beheerinterfaces.
2. Pas toegangsbeheer volgens het principe van minimale privileges toe en segmenteer het netwerk, zodat één gecompromitteerd account of gebruiker geen toegang heeft tot alle andere systemen.
3. Zorg voor offline of onveranderlijke back-ups en test regelmatig het volledige herstelproces; een back-up die nog nooit in een oefening is hersteld, is geen geverifieerd herstelpad.
4. Houd codeondertekeningscertificaten en privésleutels in de gaten en inventariseer deze, en beschouw een onverwacht of nieuw uitgegeven ondertekeningscertificaat als een mogelijke aanwijzing voor een inbreuk op het beveiligingsnet in plaats van als routineactiviteit.
5. Zorg ervoor dat RMM, VPN en edge-infrastructuur up-to-date blijven met patches op basis van een echte service level agreement die gekoppeld is aan de adviezen van de leverancier, aangezien dit de tools zijn waarop RaaS-partners en IAB's zich als eerste richten.
6. Implementeer endpointdetectie en -respons (EDR) of uitgebreide detectie en respons (XDR) die is afgestemd op het signaleren van back-upverwijderingsopdrachten, massale bestandshernoemingen en uitgeschakelde beveiligingsagents.
7. Voer regelmatig phishing-simulaties en trainingen over beveiligingsbewustzijn uit, aangezien phishing nog steeds een van de meest gebruikte toegangspunten is die internetbankiers gebruiken om inloggegevens te bemachtigen die ze later doorverkopen.
8. Gebruik beveiligde webgateways om schadelijke advertenties en drive-by downloadsites te identificeren die gebruikers naar ransomware-aanbieders leiden.
9. Plan tijdig kwetsbaarheidsanalyses en penetratietests in voor systemen die met internet verbonden zijn, om de risico's te dichten waar IAB's naar zoeken.
10. Stel een incidentresponsplan op en oefen dit vóór een aanval. Beschrijf daarin hoe getroffen systemen geïsoleerd kunnen worden, geïdentificeerde backdoors uitgeschakeld kunnen worden en toezichthouders en klanten binnen de vereiste termijnen op de hoogte gesteld kunnen worden.

Updatelogboek

Dit bericht verscheen oorspronkelijk in juli 2023 als een algemene uitleg over ransomwaretypen en de basisprincipes van RaaS. In augustus 2026 is het aanzienlijk herschreven: het begint nu met een direct antwoord, bevat een tijdlijn op basis van primaire bronnen over de evolutie van RaaS als bedrijfsmodel, een impactanalyse gebaseerd op datalekken en betalingen uit 2025, een sectie over detectieacties, een genummerde checklist voor herstel, een beslissingstabel over de huidige status van belangrijke RaaS-groepen, een sectie over beperkingen, een FAQ en een vernieuwde schema-opmaak. Groepsnamen en -statussen zijn bijgewerkt om het huidige dreigingslandschap van eind 2025 en medio 2026 weer te geven, inclusief de sluiting van RansomHub in april 2025 en de aanhoudende verstoring van LockBit na Operation Cronos, waarmee de verouderde informatie uit 2021 is vervangen. Dit bericht is een algemene uitleg over hoe het RaaS-bedrijfsmodel werkt; Voor een gedetailleerd overzicht van een praktijkvoorbeeld van een incident in de toeleveringsketen dat verband houdt met RaaS, zie de casestudy Kaseya VSA van Encryption Consulting.

Opvallende RaaS-groepen: Status eind 2025 en medio 2026

RaaS Groep	Status (meest recente geverifieerde melding)	Notes
LockBit	Verstoord, niet geëlimineerd.	Infrastructuur en aangesloten panel in beslag genomen tijdens Operatie Cronos van de politie in februari 2024; beperkte activiteiten onder de naam LockBit zijn sindsdien voortgezet.
RansomHub	Werd donker	Een van de meest actieve RaaS-merken van 2024 tot begin 2025; de activiteiten werden op 1 april 2025 stopgezet, waarbij de aangesloten bedrijven naar verluidt overgingen naar Qilin en andere groepen.
qilin	Actief, hoog volume	Na de ineenstorting van RansomHub in april 2025 nam de bekendheid ervan sterk toe en het was tot en met 2025 een van de meest actieve RaaS-operaties die werden gevolgd.
Akira	Actief, hoog volume	Wordt tot en met 2025 consequent gerekend tot de meest actieve RaaS-operaties op basis van het aantal incidenten.
Kwal	Actief	Genoemd als een van de meest actieve RaaS-operaties die in 2025 in dreigingsrapporten worden gevolgd.

Beperkingen

De namen, affiliaties en operationele status van RaaS-groepen veranderen snel: groepen veranderen van naam, vallen uiteen na interne conflicten of duiken weer op onder een nieuwe naam na een actie van de wetshandhaving. De hierboven vermelde status weerspiegelt daarom de meest recente geverifieerde openbare rapportage die beschikbaar was op het moment van deze update en is niet gegarandeerd actueel op het moment dat een lezer deze pagina bereikt. Ook de verdeling van de inkomsten tussen operators en partners is niet gestandaardiseerd in de branche; de ​​hier genoemde verhouding van 70/30 tot 80/20 is de verhouding die het meest wordt gerapporteerd door beveiligingsonderzoekers, en geen cijfer dat door een groep zelf is bekendgemaakt. Gemiddelde en mediane losgeldbedragen variëren aanzienlijk per gegevensbron, branche en organisatiegrootte. De bovenstaande cijfers moeten daarom worden beschouwd als indicatieve trends in plaats van precieze universele benchmarks. Lezers die het huidige risico beoordelen, dienen de status van een groep te controleren aan de hand van een actuele dreigingsinformatiebron, zoals de #StopRansomware-adviezen van CISA, in plaats van uitsluitend op dit artikel te vertrouwen.

Wat zou Encryption Consulting aanbevelen?

RaaS-aanvallen slagen door gestolen toegang te combineren met misbruikt vertrouwen, of dat vertrouwen nu berust op een tool voor toegang op afstand, een identiteitssysteem of een codeondertekeningscertificaat. Encryption Consulting werkt samen met organisaties om precies die lacunes te dichten:

• HSM-as-a-Service De encryptie- en back-upsleutels worden opgeslagen in FIPS 140-3-gecertificeerde hardware, waardoor organisaties een robuust back-up- en herstelpad voor sleutels hebben tegen door ransomware veroorzaakte gegevensvernietiging, in plaats van een enkel zwak punt dat door een dochteronderneming kan worden bereikt.
• PKI-as-a-Service en CertSecure Manager Geef beveiligingsteams continu inzicht in elk certificaat in de omgeving, zodat een ongeautoriseerd of afwijkend certificaat dat gebruikt wordt om een ​​kwaadaardige payload te ondertekenen, wordt gedetecteerd in plaats van als vertrouwd te worden beschouwd.
• CodeSign Secure Het centraliseert de sleutels voor codeondertekening en dwingt verificatie af voordat code wordt uitgevoerd, waardoor kwaadaardige payloads die afhankelijk zijn van een gestolen of frauduleus verkregen ondertekeningsidentiteit worden geblokkeerd.
• Versleutelingsadvies Onze diensten helpen organisaties bij het opstellen van de segmentatie-, toegangsbeheer- en incidentrespons-runbooks die in deze checklist worden beschreven, ondersteund door onze ISO/IEC 27001:2022- en SOC 2-gecertificeerde leveringsmethoden.

Conclusie

Ransomware-as-a-Service (RaaS) heeft ransomware getransformeerd van een technische vaardigheid naar een betaalde dienst. Deze verschuiving verklaart waarom het aantal aanvallen blijft toenemen, zelfs nu individuele groepen worden opgerold. Inzicht in het affiliate-model, de economie van de initiële toegangsbrokers en dubbele en driedubbele afpersing stelt een beveiligingsteam in staat om de vroege signalen van een RaaS-aanval te herkennen, in plaats van alleen de uiteindelijke losgeldnota. De groepen die in dit artikel worden genoemd, zullen blijven veranderen; het onderliggende draaiboek – gestolen toegang verkocht aan een affiliate die gegevens versleutelt en steelt in ruil voor een deel van de betaling – is al tien jaar opmerkelijk consistent. Dit is precies de reden waarom de maatregelen die RaaS bestrijden (identiteitsversterking, geteste back-ups en certificaat- en sleutelbewaking) de juiste investering blijven, ongeacht welk merk dit jaar actief is.

Veelgestelde Vragen / FAQ

Waar staat RaaS voor en hoe verschilt het van gewone ransomware? RaaS staat voor Ransomware-as-a-Service. Gewone ransomware wordt ontwikkeld en ingezet door dezelfde groep; bij RaaS worden deze rollen gescheiden. Operators ontwikkelen en verhuren de ransomware, terwijl partners de daadwerkelijke aanvallen uitvoeren in ruil voor een deel van het losgeld. Deze structuur is vergelijkbaar met hoe Software-as-a-Service de softwareleverancier scheidt van de eindgebruiker.

Hoe worden RaaS-partners betaald en wat is de gebruikelijke verdeling van de inkomsten? Partners behouden doorgaans het grootste deel van elke losgeldbetaling, meestal tussen de 70/30 en 80/20 in het voordeel van de partner, terwijl de rest naar de operatorgroep gaat voor de ransomware, infrastructuur en het onderhandelingsportaal. De exacte verdeling verschilt per groep en is niet publiekelijk gestandaardiseerd.

Wat is het verschil tussen dubbele en drievoudige afpersing? Bij dubbele afpersing worden bestanden versleuteld en gegevens gestolen. Het slachtoffer loopt daardoor niet alleen het risico op een operationele storing, maar ook op openbaarmaking van gestolen gegevens, zelfs als er een back-up kan worden teruggezet. Bij drievoudige afpersing komt daar nog een derde drukmiddel bij, zoals een DDoS-aanval op publiekelijk toegankelijke systemen of direct contact met klanten, werknemers of toezichthouders van het slachtoffer.

Welke ransomwaregroepen zijn momenteel het meest actief met RaaS (Ransomware as a Service)? Op basis van de meest recente geverifieerde openbare rapportages behoorden Akira, Qilin en Medusa tot de meest actieve RaaS-groepen tot en met 2025. Qilin kende een aanzienlijke groei in activiteit nadat de RaaS-groep RansomHub in april 2025 offline ging. LockBit is na de door de politie uitgevoerde operatie Cronos in februari 2024 nog steeds ontregeld, maar is nog niet volledig uitgeschakeld. Omdat groepen hun naam wijzigen en de politie nog steeds actief is, dient de actuele status te worden geverifieerd aan de hand van een actuele bron met dreigingsinformatie.

Wat is de meest effectieve stap die een organisatie kan nemen om het RaaS-risico te verlagen? Er is geen pasklare oplossing, maar geteste, offline of onveranderlijke back-ups in combinatie met multifactorauthenticatie op elk extern toegangspad pakken de twee zwakke punten aan waar RaaS-partners het meest op vertrouwen: de mogelijkheid om ongemerkt binnen te dringen en de mogelijkheid om betaling af te dwingen door de enige kopie van de gegevens van het slachtoffer te vernietigen.

Referenties

• Huntress, “Hoe het RaaS-bedrijfsmodel in de praktijk werkt”: https://www.huntress.com/blog/how-the-raas-business-model-actually-works
• Informa TechTarget, “Ransomware-trends, statistieken en feiten in 2026”: https://www.techtarget.com/searchsecurity/feature/Ransomware-trends-statistics-and-facts
• The Hacker News, “RansomHub ging op 1 april offline; aangesloten bedrijven vluchtten naar Qilin, DragonForce nam de controle over”: https://thehackernews.com/2025/04/ransomhub-went-dark-april-1-affiliates.html
• De Britse National Crime Agency (NCA) kondigt de ontwrichting van LockBit aan met Operatie Cronos. https://www.nationalcrimeagency.gov.uk/the-nca-announces-the-disruption-of-lockbit-with-operation-cronos
• CISA, #StopRansomware-adviezen: https://www.cisa.gov/stopransomware