Het meeste advies over het voorkomen van schendingen, inclusief onze eigen gids voor het voorkomen van schendingen, is gericht op het weren van aanvallers uit uw bedrijfsnetwerk. Het gebruik van sterkere inloggegevens, weerstand tegen phishing, gepatchte systemen en gescreende leveranciers zijn allemaal belangrijke onderdelen van deze aanpak. Het zijn allemaal essentiële methoden, maar ze kunnen niet uw enige tactiek voor bescherming tegen schendingen zijn: ze bieden u geen ondersteuning als een aanvaller uw netwerk weet binnen te dringen.
Toegang krijgen en gegevensdiefstal zijn twee verschillende dingen. Een aanvaller die één inbox, één laptop of één leveranciersverbinding in gevaar brengt, heeft nog niets gestolen. Ze hebben vaste voet aan de grond gekregen, en wat er gebeurt tussen die positie en het moment waarop gegevens het pand verlaten, is een fase die de meeste beveiligingsrichtlijnen voor het mkb volledig overslaan, omdat het niet alleen gaat om het beveiligen van uw netwerk; het gaat er ook om op te merken dat er gegevens naar buiten worden verplaatst.
Deze fase wordt exfiltratie genoemd en duurt doorgaans dagen of strekt zich zelfs maandenlang onopgemerkt uit. Dit is mogelijk dankzij tools en kanalen die er volkomen alledaags uitzien voor iedereen die er niet specifiek op let. Meldingen van schendingen komen vaak te laat binnen, niet omdat organisaties onvoorzichtig waren met het oorspronkelijk in gevaar brengen, maar omdat de aanvaller niet werd gedetecteerd binnen het bedrijfsnetwerk.
De exfiltratiefase: wat er gebeurt tussen toegang en diefstal
Hoe data-exfiltratie eruitziet
Waarom is exfiltratie moeilijk te herkennen?
Waar bedrijven op moeten monitoren
Hoe vroegtijdige detectie uw juridische positie kan veranderen
Wat gebeurt er met geëxfiltreerde bedrijfsgegevens?
Beperk wat een aanvaller kan bereiken
De exfiltratiefase: wat er gebeurt tussen toegang en diefstal
Zodra een aanvaller initiële toegang krijgt, hetzij via een phishing-e-mail, gestolen inloggegevens of een in gevaar gebrachte leveranciersverbinding, gaat deze zelden direct over tot het stelen van gegevens. Onmiddellijk handelen brengt het risico met zich mee dat er een waarschuwing wordt geactiveerd voordat er iets waardevols is gevonden, dus geduld is het meest gebruikelijke patroon.
De aanvaller besteedt tijd aan het in kaart brengen van de omgeving, waaronder:
- Waar financiële gegevens zijn opgeslagen
- Beoordelen welke SaaS-tools klantgegevens bevatten
- Het lokaliseren van accounts met de breedste toegang
- Detecteren of er eventueel activiteit wordt gemonitord.
Deze verkenningsfase kan lang duren. Sommige aanvallers komen binnen enkele uren in actie, met name bij opportunistische ransomware-aanvallen waarbij snelheid belangrijker is dan onopgemerkt blijven. Anderen, vooral in gevallen die draaien om langdurige gegevensdiefstal of spionage, blijven weken of maanden ingesloten en leren de normale activiteitspatronen goed genoeg kennen om erin op te gaan.
Hoe dan ook, tegen de tijd dat de aanvaller begint met het verplaatsen van gegevens naar buiten, weten ze meestal al precies wat ze willen en welk account of systeem hen dit laat wegnemen zonder een alarm te activeren.
Hoe data-exfiltratie eruitziet
Kwaadwillige exfiltratie is moeilijk te herkennen omdat het lijkt op alledaagse activiteit. IT-beheerders letten niet op iets grotere bestandsoverdrachten dan gebruikelijk of mappen die worden gesynchroniseerd naar plekken waar dat niet zou moeten.
Grote of ongebruikelijke gegevensoverdrachten
Dit is de meest directe vorm van exfiltratie. Een account kan bijvoorbeeld plotseling gigabytes ophalen van een bestandsserver of database die normaal gesproken slechts af en toe wordt geraadpleegd, of bulkgegevens exporteren vanuit een CRM- of HR-platform.
In omgevingen met veel SaaS gebeurt exfiltratie vaak via de eigen exportfuncties van het platform: bulk-CSV-downloads, PDF-exports van klantgegevens of een reeks schermafbeeldingen van een dashboard dat helemaal geen exportknop heeft.
Een typisch geval kan er als volgt uitzien: een in gevaar gebracht HR-account wordt gedurende enkele weken gebruikt om kleine, gespreide exports van werknemersgegevens uit te voeren in plaats van één opvallende bulkdownload. Elke afzonderlijke export ziet er op zichzelf onopvallend uit, ruim binnen wat een HR-platform verwacht dat iemand in die functie doet.
Alleen het patroon over meerdere weken – hetzelfde account dat met vreemde tussenpozen vergelijkbare gegevens exporteert – zou onthullen wat er gebeurt, en dat patroon wordt alleen zichtbaar voor een bedrijf dat er actief naar zoekt.
In gevaar gebrachte inbox
Een aanvaller die een zakelijke e-mail-postvak IN in gevaar brengt, kan een regel instellen die stilletjes elk bericht, of elk bericht dat aan bepaalde trefwoorden voldoet, naar een extern adres kopieert, waardoor deze een doorlopende stroom gevoelige correspondentie ontvangt lang nadat de oorspronkelijke phishing-e-mail is vergeten.
In gevaar gebrachte cloudopslag
Persoonlijke cloudopslag is een andere veelvoorkomende route. De in gevaar gebrachte laptop van een medewerker, of een in gevaar gebracht account met toegang tot bedrijfsbestanden, kan worden gebruikt om documenten te kopiëren naar een persoonlijke Dropbox, Google Drive of vergelijkbare dienst. Zo’n overdracht ziet er vaak identiek uit aan een legitieme back-up van bestanden, tenzij iemand controleert waar de gegevens terecht zijn gekomen.
Waarom is exfiltratie moeilijk te herkennen?
De ongemakkelijke waarheid over exfiltratie is dat er meestal helemaal geen malware(nieuw venster) voor nodig is. Een aanvaller die een in gevaar gebracht account gebruikt om een rapport te exporteren, enkele e-mails door te sturen of bestanden te uploaden naar een cloud-drive, gebruikt dezelfde tools en machtigingen die een legitieme werknemer dagelijks gebruikt.
Er is geen verdacht uitvoerbaar bestand dat antivirussoftware kan markeren, of een ongebruikelijk proces dat endpointdetectie kan opvangen, omdat er technisch gezien niets abnormaals is aan de activiteit. Het ziet er alleen verkeerd uit binnen de context, en context is precies waar de meeste beveiligingstools voor het mkb niet op gebouwd zijn om te evalueren.
Daarom zijn op de perimeter gerichte verdedigingen, hoe goed ze ook zijn geïmplementeerd, op zichzelf niet voldoende. Een bedrijf kan alles goed doen bij het toegangspunt, sterke inloggegevens afdwingen, werknemers trainen tegen phishing, elk systeem patchen, en toch geen enkele manier hebben om te weten dat een in gevaar gebracht account gestaag bestanden naar een externe bestemming verplaatst, omdat die activiteit er in de eerste plaats nooit op gericht was om verdacht te lijken.
Beveiligingsonderzoekers noemen dit soms “living off the land”: het gebruik van de eigen legitieme software, cloudintegraties en beheertools van het doelwit, in plaats van tools die een antivirusproduct als onrechtmatig zou herkennen.
Een client voor bestandssynchronisatie, een ingebouwde exportfunctie of een standaard e-mailregel zijn op zichzelf geen kwaadaardige tools. Dit is de reden waarom een aanvaller die hierop vertrouwt zo lang kan opereren zonder iets te activeren dat is ontworpen om malware te onderscheppen.
Waar bedrijven op moeten monitoren
Het vroegtijdig opsporen van exfiltratie komt neer op het letten op een klein aantal specifieke signalen, in plaats van breed te scannen op verdachte activiteiten.
Verkeer en exports
Ongebruikelijke volumes of bestemmingen van gegevensoverdracht verdienen de grootste aandacht. Uw organisatie moet letten op een piek in uitgaand verkeer, een bulkexport vanuit een systeem waarin dit normaal niet voorkomt, of elke overdracht naar een bestemming die u niet herkent.
De richtlijnen van het NCSC over gegevensbeveiliging(nieuw venster) bevelen specifiek aan om de toegang tot gevoelige gegevens te loggen en te monitoren op ongebruikelijke zoekopdrachten of pogingen tot bulkexport, juist omdat dat patroon een teken is dat er iets buiten het normale gebruik valt.
Regels voor het doorsturen van e-mail
Het is de moeite waard om regels voor het doorsturen van e-mail rechtstreeks te controleren, vooral voor elk account dat betrokken is geweest bij een vermoedelijk phishing-incident. Een regel die berichten geruisloos doorstuurt naar een onbekend adres kan maandenlang onopgemerkt blijven, en het is een van de eenvoudigste zaken om te controleren zodra u weet waar u op moet letten.
Ongebruikelijke logins
Inlogactiviteit vanaf onverwachte locaties of tijdstippen is een signaal dat serieus moet worden genomen. Een inlogpoging om 3 uur ‘s nachts vanuit een land waar het bedrijf niet actief is, is op zichzelf nog geen bewijs, maar in combinatie met een gegevensoverdracht rond dezelfde tijd is het een detail dat een incident kan bevestigen.
Activiteit op beheerdersaccounts buiten kantooruren verdient bijzondere aandacht, aangezien beheerdersaccounts doorgaans het breedste bereik binnen een systeem hebben en juist vanwege dat bereik een geliefd doelwit zijn.
Activiteit op deze accounts diep in de nacht, in het weekend of tijdens een periode waarin de daadwerkelijke beheerder afwezig is, is een van de betrouwbaardere indicatoren dat een account, en niet alleen een apparaat, in gevaar is gebracht.
Hoe vroegtijdige detectie uw juridische positie kan veranderen
Onder zowel de EU-GDPR als de VK-GDPR geeft Artikel 33(nieuw venster) organisaties 72 uur de tijd om de relevante toezichthoudende autoriteit op de hoogte te stellen zodra ze zich ervan bewust worden dat er een schending van persoonsgegevens heeft plaatsgevonden; de ICO in het Verenigd Koninkrijk(nieuw venster) of de nationale gegevensbeschermingsautoriteit in elke EU-lidstaat.
De vereiste is in wezen hetzelfde voor alle rechtsgebieden: de klok begint voor uw organisatie te lopen op het moment van ontdekking, niet vanaf het moment dat de schending daadwerkelijk plaatsvond. Daarom is grondig monitoren op exfiltratie zo belangrijk voor compliance, en niet alleen voor beveiliging.
Een bedrijf dat exfiltratie vroegtijdig detecteert via controles van regels voor doorsturen, het monitoren van overdrachten of meldingen van ongebruikelijk inloggen, kan proactief en volgens een eigen planning melding maken met een redelijk duidelijk beeld van wat er is meegenomen.
Een bedrijf dat een schending pas weken of maanden later ontdekt, vaak doordat een klant een klacht indiende of gestolen gegevens op een crimineel forum opdoken, meldt reactief en onder druk, vaak met een onvolledig beeld van de omvang en met een toezichthouder die vraagt waarom het zo lang duurde voordat het werd opgemerkt.
Het verschil reikt verder dan de gevolgen voor uw reputatie. Het bepaalt hoe het gehele incident wordt beoordeeld en hoeveel speelruimte een toezichthouder bereid is te bieden.
Wat gebeurt er met geëxfiltreerde bedrijfsgegevens?
Het Data Breach Observatory van Proton volgt wat er op het dark web opduikt zodra er een schending heeft plaatsgevonden, en het patroon biedt een nuttige realiteitscheck over waar exfiltratie echt op gericht is.
Volgens de update van het Data Breach Observatory van 2026 komen namen en e-mailadressen voor in bijna negen op de tien gevolgde schendingen, contactgegevens zoals telefoonnummers en fysieke adressen duiken op in ongeveer driekwart ervan, en wachtwoorden worden in bijna de helft blootgesteld.
Gevoeligere categorieën, zoals door de overheid uitgegeven identiteitsbewijzen, medische dossiers en andere persoonlijk identificeerbare informatie, komen voor in iets meer dan een derde van de schendingen, terwijl directe financiële informatie in een kleiner aandeel opduikt, ongeveer één op de twintig.
Mkb-bedrijven vormen de meerderheid van de schendingen die het Observatory volgt, en ze zijn onevenredig sterk vertegenwoordigd bij de incidenten met de meest gevoelige gegevenscategorieën.
Deze combinatie van frequente doelwitselectie en een hoog percentage blootstelling van gevoelige gegevens strookt met het type exfiltratie dat in dit artikel wordt beschreven: aanvallen die gedurende een lange periode plaatsvinden binnen de systemen van een kleinere organisatie leveren doorgaans meer op, omdat niemand wist dat er gegevens weglekten en aanvallers alles konden meenemen.
Beperk wat een aanvaller kan bereiken
Het monitoren van exfiltratie vangt gegevens op wanneer ze naar buiten gaan, maar de omvang van het probleem wordt eerder bepaald, namelijk door wat een in gevaar gebracht account in de eerste plaats kan bereiken. Een aanvaller die toegang krijgt tot een account met brede, onbeperkte machtigingen kan gegevens uit veel meer systemen halen dan iemand die een account in gevaar brengt dat strikt is afgestemd op wat die specifieke functie vereist.
Unieke inloggegevens voor elk account, gecombineerd met toegang die beperkt is tot wat een functie daadwerkelijk vereist, verkleint het exfiltratieoppervlak rechtstreeks. Als een in gevaar gebracht marketingaccount alleen marketingsystemen kan bereiken, is het worstcasescenario al vanaf het ontwerp begrensd, in plaats van afhankelijk te zijn van de terughoudendheid van een aanvaller of een monitoringsysteem dat hen op tijd onderschept.
Dit is dezelfde inperkingslogica die de impactradius bij een op inloggegevens gebaseerde schending in het algemeen beperkt: het account dat in gevaar wordt gebracht, mag alleen maar kunnen lekken waartoe het rechtmatig toegang had.
Een zakelijke wachtwoordbeheerder zoals Proton Pass for Business maakt het realistisch om deze afbakening te handhaven, omdat het de verleiding wegneemt om een handige set brede inloggegevens over meerdere tools heen te hergebruiken puur omdat het handmatig beheren van unieke gegevens niet schaalbaar is.
Wanneer elk account eigen inloggegevens heeft en toegang wordt getoetst aan wat een functie daadwerkelijk nodig heeft, is één enkel in gevaar gebracht account niet langer een routering naar de gegevens van de gehele organisatie, maar wordt het in het ergste geval een beheerst incident.
Proton Pass for Business kan uw bedrijf ondersteuning bieden bij:
- Aanpasbaar teambeleid waarmee u uw wachtwoordbeleid kunt afdwingen met wachtwoordvereisten, verplichte tweestapsverificatie (2FA) en ingetrokken regels voor het delen van gegevens
- Gebruikslogboeken waarmee u activiteit binnen uw netwerk kunt inzien, met aanvullende ondersteuning van ons geavanceerde programma voor hoge beveiliging Proton Sentinel
- Groepen ingedeeld op functie, project of toegangsniveau, waardoor toegangsbeheer wordt vereenvoudigd en ervoor wordt gezorgd dat elk teamlid alleen toegang heeft tot wat nodig is.
Stop op inloggegevens gebaseerde data-exfiltratie met een zakelijke wachtwoordbeheerder.
