Ransomware-as-a-Service (RaaS): hoe criminelen 'software bedrijfjes' runnen

Wat is Ransomware-as-a-Service?

Bij RaaS ontwikkelt een kerngroep de ransomware en infrastructuur (betaal-portalen, leaksites op het dark web). Andere criminelen — 'affiliates' — gebruiken deze tools om aanvallen uit te voeren, en delen de winst met de kerngroep. Typische verdeling: 70-80% voor de affiliate, 20-30% voor de RaaS-operator.

Het rolverdelings-model

Een moderne ransomware-aanval is teamwork tussen meerdere specialismen:

• Initial Access Brokers (IAB's) — specialiseren in hacken; verkopen toegang tot bedrijven voor $500-$10.000
• Affiliates — kopen toegang en voeren de eigenlijke aanval uit
• Ransomware-operators — leveren de ransomware en infrastructuur
• Money launderers — zetten de cryptocurrency om in echt geld
• Negotiators — sommige groepen hebben specialisten die met slachtoffers onderhandelen

Bekende RaaS-groepen in 2026

Belangrijke spelers (deze veranderen continu naarmate er opgerold wordt):

• LockBit / LockBit-varianten
• BlackCat/ALPHV (technisch ontmanteld in 2024, maar varianten zijn actief)
• Cl0p — specialiseren in supply-chain en datadiefstal
• Play — relatieve nieuwkomer, snel groeiend
• Akira — vooral actief tegen MKB

Wat betekent dit voor u?

De industrialisatie van ransomware betekent dat de aanvallen efficiënter, frequenter en goedkoper worden. Zelfs MKB-bedrijven met 10 medewerkers worden geautomatiseerd geraakt. De goede verdediging is daarom ook geautomatiseerd: EDR, MDR, automatische patching, MFA — geen handwerk meer.