Medio augustus 2026 claimde de Russische ransomwaregroep Clop bedrijfsdata te hebben gestolen bij twee Nederlandse multinationals: Shell en Philips. Opvallend is dat de aanvallers niet inbraken bij Shell of Philips zelf, maar bij een gedeelde softwareleverancier die veel bedrijven gebruiken voor het beheer van technische ontwerpen en productdata. Deze supply chain aanval laat zien dat zelfs organisaties met omvangrijke beveiligingsbudgetten kwetsbaar zijn zodra kritieke bedrijfsdata bij één externe partij is geconcentreerd – en dat is precies waarom steeds meer bedrijven kijken naar meer controle over waar hun data daadwerkelijk staat.
Één kwetsbaarheid, tientallen slachtoffers
Volgens berichtgeving van onder meer NOS maakte Clop gebruik van kwetsbaarheden in productlevenscyclus-software van leverancier PTC, waaronder Windchill en FlexPLM. Bedrijven beheren hierin technische tekeningen, intellectueel eigendom, productspecificaties en ketendata. Bij Shell zou het gaan om 89 gigabyte gestolen data, bij Philips om 13,5 gigabyte. Philips laat weten dat een poging om een interne server te compromitteren tijdig is ontdekt en dat klantomgevingen niet zijn geraakt; Shell onderzoekt het incident eveneens. Clop claimt in totaal data van 43 bedrijven te hebben buitgemaakt via dezelfde route.
Dat is het kenmerk van een supply chain aanval: aanvallers zoeken niet het zwakste bedrijf, maar de meest gebruikte gemeenschappelijke schakel. Één kwetsbaarheid in populaire bedrijfssoftware levert dan in één klap toegang op tot tientallen organisaties tegelijk, ongeacht hun eigen beveiligingsniveau.
Waarom dit ook het mkb raakt
Het is verleidelijk om dit als een probleem van grote industriële spelers te zien, maar dezelfde dynamiek speelt bij software die het mkb dagelijks gebruikt: boekhoudpakketten, CRM-systemen, clouddiensten voor documentbeheer. Hoe populairder een platform, hoe aantrekkelijker het doelwit voor aanvallers die met minimale moeite maximale opbrengst willen. Voor bedrijven die als leverancier in een keten zitten – denk aan de doelgroepen zorg, accountancy en juridische dienstverlening – komt daar de recente Cyberbeveiligingswet bovenop: opdrachtgevers verwachten aantoonbaar bewijs dat kritieke data goed beschermd is, niet alleen bij het eigen bedrijf maar in de hele keten.
Kortom: hoe meer bedrijfskritieke data bij één externe, centrale partij ligt, hoe groter de impact als daar iets misgaat – en hoe minder een organisatie zelf kan doen om dat te voorkomen of snel te herstellen.
Grip terug met data in eigen beheer
Dit is precies waar digitale soevereiniteit een praktisch verschil maakt. Wanneer bedrijfsdata op eigen nodes draait in plaats van uitsluitend in een gedeelde cloudomgeving van een externe leverancier, bepaalt een organisatie zelf wie toegang heeft, waar back-ups staan en hoe snel bij een incident kan worden geschakeld. Certified Nodes kunnen bovendien als cluster worden ingezet, zodat data over meerdere nodes verspreid staat en beschikbaar blijft (High Availability) zonder afhankelijk te zijn van de continuïteit of het patchbeleid van één externe softwareleverancier.
Dat betekent niet dat elk bedrijf morgen alle software zelf moet gaan hosten. Het betekent wel dat het de moeite waard is om kritieke data – intellectueel eigendom, klantgegevens, contracten – te scheiden van minder gevoelige informatie, en voor dat kritieke deel bewust te kiezen voor infrastructuur die een organisatie zelf beheert of controleert. Meer hierover, inclusief concrete alternatieven per use case, is te vinden op de pagina privacy-alternatieven.
Drie stappen die nu al te zetten zijn
Ten eerste: breng in kaart welke bedrijfskritieke data bij externe softwareleveranciers staat en welke leveranciers door meerdere afdelingen of ketenpartners worden gedeeld. Ten tweede: vraag leveranciers actief naar hun patchbeleid en meldprocedure bij een datalek – de Cyberbeveiligingswet maakt dit inmiddels een gangbare vraag in inkoopgesprekken. Ten derde: overweeg voor de meest gevoelige data een eigen of gedecentraliseerde infrastructuur, zodat een kwetsbaarheid bij één leverancier niet automatisch een kwetsbaarheid in uw eigen bedrijfsvoering wordt.
De aanval op Shell en Philips is een herinnering dat digitale weerbaarheid niet stopt bij de eigen firewall. Bedrijven die nu al nadenken over waar hun kritieke data staat en wie daar controle over heeft, staan er beter voor wanneer de volgende gedeelde softwareleverancier in het nieuws komt.
Bron: NOS – Russische ransomwaregroep zegt Shell en Philips te hebben gehackt
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.