De 2026 Lumen Defender Threatscape-rapport: Waarom zichtbaarheid bij een inbraak het verhaal mist

De 2026 Lumen Defender Threatscape-rapport van Lumen, aangedreven door zijn threat intelligence-arm Black Lotus Labs, geeft een duidelijke boodschap dat de meeste organisaties nog steeds te laat tegen cyberaanvallen vechten. Het rapport stelt dat op het moment dat een inbraak in een netwerk wordt gedetecteerd, het echte werk van de aanval al is voltooid. Wat eruitziet als een plotselinge intrusie is meestal de laatste stap in een veel langere, zorgvuldig geconstrueerde operatie.

In plaats van te focussen op wat er gebeurt na een compromis, verschuift het rapport de aandacht naar wat er gebeurt voordat het gebeurt. Die verschuiving verandert alles.

Cyberaanvallen beginnen nu lang voordat de inbraak plaatsvindt

Moderne cyberoperaties lijken niet langer op gelegenheidsinbraken. Ze lijken meer op gestructureerde campagnes die over tijd worden opgebouwd. Dreigingsactoren beginnen met het continu scannen van het internet, op zoek naar blootgestelde systemen, niet-gepatchte apparaten en zwakke verificatiepunten. Zodra ze kansen vinden, bouwen ze infrastructuur eromheen.

Deze voorbereidingsfase omvat het valideren van gestolen referenties, het opzetten van proxy-netwerken, het testen van communicatiekanalen en het ervoor zorgen dat commandosystemen zonder onderbreking kunnen werken. Op het moment dat een organisatie verdachte activiteit detecteert, heeft de aanvaller al de benodigde paden gebouwd om door de omgeving te bewegen.

Wat dit bijzonder gevaarlijk maakt, is dat de meeste organisaties nooit deze vroege fase zien. Traditionele beveiligingstools zijn ontworpen om bekende bedreigingen of verdachte activiteit binnen het netwerk te detecteren. Ze zijn niet ontworpen om te observeren hoe een aanval in de eerste plaats wordt geconstrueerd.

Het infrastructuurlaag is nu het echte slagveld

Een van de belangrijkste bevindingen in het rapport is dat cyberaanvallen niet langer worden gedefinieerd door malware alleen. In plaats daarvan worden ze gedefinieerd door de infrastructuur die hen ondersteunt. Aanvallers investeren meer moeite in het bouwen van robuuste, adaptieve systemen die overleven en snel kunnen regenereren.

Deze verschuiving is zichtbaar in zowel criminele operaties als campagnes van nationale staten. Proxy-netwerken zijn een kerncomponent van bijna elke aanval geworden. Deze netwerken laten aanvallers toe om verkeer via gehackte apparaten te routeren, waardoor malafide activiteit kan lijken alsof het afkomstig is van legitieme gebruikers.

Tegelijkertijd verplaatsen aanvallers zich van eindpunten naar randapparaten zoals routers, VPN-gateways en firewalls. Deze systemen zitten op kritieke punten in het netwerk, hebben vaak zwakkere zichtbaarheid en bieden directe toegang tot interne systemen. Ze hebben ook de neiging om langer uptime te hebben en minder bewakingscontroles, waardoor ze ideale voetgangers zijn.

Het resultaat is een dreigingslandschap waarin aanvallers opereren binnen de verbindingen van het internet in plaats van aan de randen ervan.

Kunstmatige intelligentie versnelt het hele proces

Het rapport benadrukt hoe generatieve AI de snelheid van cyberoperaties dramatisch verhoogt. Taken die eerder menselijke coördinatie vereisten, kunnen nu worden geautomatiseerd. Aanvallers gebruiken AI om kwetsbaarheden te scannen, infrastructuur te genereren, exploits te testen en hun strategieën in real-time aan te passen.

Deze verschuiving comprimeert de tijdslijn van een aanval. Wat eerder dagen of weken duurde, kan nu in uren gebeuren. In sommige gevallen kunnen AI-gestuurde systemen netwerkcondities evalueren, de meest effectieve route naar voren identificeren en tactieken aanpassen zonder menselijke tussenkomst.

Voor verdedigers creëert dit een nieuwe uitdaging. Beveiligingsteams staan niet langer tegenover statische bedreigingen. Ze staan tegenover systemen die continu evolueren, die antwoorden op verdedigingen wanneer ze die tegenkomen.

Cybercrime is een professionele industrie geworden

Een ander opvallend thema in het rapport is hoe cybercrime is geëvolueerd tot een gestructureerd, professioneel ecosysteem. Veel operaties lijken nu op legitieme technologiebedrijven. Ze bieden diensten aan, ondersteunen klanten en verbeteren hun producten continu.

Malware-platforms worden verkocht als abonnementsdiensten. Proxy-netwerken worden verhuurd op aanvraag. Toegang tot gehackte systemen kan worden gekocht en doorverkocht via markten. Verschillende actoren specialiseren zich in verschillende delen van de aanvalscyclus, van initiële toegang tot gegevensuitbuiting tot monetaire exploitatie.

Deze mate van organisatie stelt cybercriminelen in staat om hun operaties efficiënt te schalen. Het maakt hen ook meer veerkrachtig. Wanneer een component wordt verstoord, kan een andere snel in de plaats komen.

Dezelfde infrastructuur wordt vaak gedeeld door meerdere groepen, waardoor de grens tussen criminele activiteit en operaties van nationale staten vervaagd. Dit maakt attributie moeilijker en verhoogt het risico van misinterpretatie van de werkelijke aard van een aanval.

Proxy-netwerken herdefiniëren vertrouwen op het internet

Een van de belangrijkste ontwikkelingen beschreven in het rapport is de opkomst van proxy-netwerken opgebouwd uit gehackte apparaten. Deze netwerken laten aanvallers toe om te opereren vanuit wat eruitziet als normale residentiële of commerciële IP-adressen.

Vanuit het perspectief van de verdediger is dit een groot probleem. Traditionele beveiligingsmodellen vertrouwen zwaar op vertrouwenssignalen zoals locatie, IP-reputatie en netwerkeigendom. Proxy-netwerken ondermijnen al deze signalen.

Een aanvaller kan eruitzien als een legitieme gebruiker die verbinding maakt vanuit een residentieel netwerk. Ze kunnen geolocatiecontroles omzeilen, detectiesystemen ontwijken en naadloos in normale verkeerspatronen opgaan.

Dit betekent dat wat er schoon uitziet, niet noodzakelijk veilig is. Het internet zelf is een vermomming geworden.

Zelfs eenvoudige aanvallen zijn opnieuw uitgevonden

Het rapport toont ook aan dat oudere technieken zoals brute force-aanvallen verre van verouderd zijn. In plaats daarvan zijn ze getransformeerd door schaal en automatisering.

Aanvallers hebben nu toegang tot enorme datasets met gestolen referenties. Ze combineren dit met gedistribueerde infrastructuur en AI-gestuurde tools om verificatiesystemen over duizenden doelen tegelijk te testen. Deze aanvallen zijn niet langer willekeurig. Ze zijn gericht, persistent en hoogst efficiënt.

Wat ze bijzonder gevaarlijk maakt, is dat ze vaak dienen als de eerste stap in een grotere operatie. Zodra toegang is verkregen, kunnen aanvallers dieper in het netwerk doordringen, extra tools implementeren en langdurige controle vestigen.

Nationale operaties worden infrastructuurplatforms

Het rapport benadrukt hoe nationale actoren langdurige infrastructuur bouwen die meerdere campagnes over tijd ondersteunt. Deze operaties zijn ontworpen voor flexibiliteit. Ze kunnen worden gebruikt voor verkenning, exploitatie of onderbreking, afhankelijk van het doel.

In plaats van te focussen op een enkel doel, creëren deze systemen een basis die kan worden hergebruikt voor verschillende operaties. Ze zijn ontworpen om te schalen, aan te passen en te persistent te zijn, zelfs onder druk.

In sommige gevallen bouwen aanvallers zelfs geen eigen infrastructuur. Ze nemen systemen over die al door andere groepen worden gecontroleerd en gebruiken ze als opstapplaats voor hun eigen operaties. Dit voegt een extra laag complexiteit toe en maakt het nog moeilijker om te begrijpen wie achter een aanval zit.

De toekomst van cybersecurity zal worden gedefinieerd door zichtbaarheid

Kijkend naar de toekomst, identificeert het rapport verschillende verschuivingen die het dreigingslandschap in 2026 en daarna zullen vormgeven. De belangrijkste hiervan is het idee dat risico zal worden gedefinieerd door blootstelling.

Aanvallers scannen het internet continu. Elk systeem dat zichtbaar en kwetsbaar is, zal uiteindelijk worden aangevallen. Het maakt niet uit tot welke industrie het behoort. Kans is de drijvende factor.

Tegelijkertijd zullen de belangrijkste signalen niet afkomstig zijn van individuele apparaten. Ze zullen afkomstig zijn van patronen in het netwerk. De manier waarop systemen communiceren, de manier waarop infrastructuur wordt opgebouwd en verlaten, en de manier waarop verkeer over het internet stroomt, zal aanvallen onthullen voordat ze hun doelen bereiken.

Dit vereist een andere aanpak van beveiliging. In plaats van alleen te focussen op eindpunten en waarschuwingen, moeten organisaties de bredere omgeving begrijpen waarin aanvallen vorm krijgen.

Een nieuwe aanpak van verdediging

Het rapport maakt duidelijk dat traditionele defensieve strategieën niet langer voldoende zijn. Organisaties moeten eerder in de aanvalscyclus optreden. Ze moeten zich richten op het detecteren en verstoren van de infrastructuur die aanvallen mogelijk maakt, en niet alleen op de aanvallen zelf.

Dit betekent dat randapparaten als kritieke activa moeten worden behandeld. Het betekent het monitoren van hoe verkeer het netwerk binnenkomt en verlaat. Het betekent het begrijpen van de relaties tussen systemen in plaats van te vertrouwen op statische indicatoren.

Het betekent ook het accepteren dat de grens tussen criminele activiteit en door de staat gesponsorde operaties steeds vager wordt. Elke intrusie moet als potentieel strategisch worden behandeld.

De echte les van het rapport

De belangrijkste conclusie uit De 2026 Lumen Defender Threatscape-rapport is dat cyberaanvallen geen geïsoleerde gebeurtenissen meer zijn. Ze zijn gebouwde systemen. Ze worden gepland, getest en verfijnd lang voordat ze worden uitgevoerd.

Op het moment dat een waarschuwing wordt geactiveerd, is de aanvaller al in de omgeving aanwezig in enige vorm. De voorbereidingen zijn al getroffen.

De organisaties die slagen in deze nieuwe omgeving zullen degenen zijn die hun focus verschuiven. Ze zullen kijken voorbij het eindpunt. Ze zullen kijken voorbij de inbraak. Ze zullen zich richten op de infrastructuur die deze aanvallen mogelijk maakt.

Door dit te doen, zullen ze de ene voorsprong verkrijgen die het meest telt in de moderne cybersecurity. Ze zullen de aanval zien voordat deze begint.