De 2026 Lumen Defender Threatscape Report: Waarom zichtbaarheid bij een inbraak het verhaal mist

De 2026 Lumen Defender Threatscape Report van Lumen, ondersteund door zijn threat intelligence-arm Black Lotus Labs, geeft een duidelijke boodschap dat de meeste organisaties nog steeds te laat zijn met het bestrijden van cyberaanvallen. Het rapport stelt dat op het moment dat een inbraak in een netwerk wordt gedetecteerd, het echte werk van de aanval al is voltooid. Wat eruitziet als een plotselinge inbraak is meestal de laatste stap in een veel langere, zorgvuldig opgezette operatie.

In plaats van te focussen op wat er gebeurt na een inbraak, richt het rapport de aandacht op wat er gebeurt voordat het gebeurt. Die verschuiving verandert alles.

Cyberaanvallen beginnen nu lang voordat de inbraak plaatsvindt

Moderne cyberoperaties lijken niet langer op gelegenheidsinbraken. Ze lijken meer op gestructureerde campagnes die stap voor stap over tijd worden opgebouwd. Bedreigingsactoren beginnen met het continu scannen van het internet, op zoek naar blootgestelde systemen, niet-gepatchte apparaten en zwakke verificatiepunten. Zodra ze kansen vinden, bouwen ze infrastructuur eromheen.

Deze voorbereidingsfase omvat het valideren van gestolen referenties, het opzetten van proxy-netwerken, het testen van communicatiekanalen en het garanderen dat commandosystemen zonder onderbreking kunnen werken. Op het moment dat een organisatie verdachte activiteit detecteert, heeft de aanvaller al de benodigde paden gebouwd om door de omgeving te bewegen.

Wat dit bijzonder gevaarlijk maakt, is dat de meeste organisaties deze vroege fase nooit zien. Traditionele beveiligingstools zijn ontworpen om bekende bedreigingen of verdachte activiteit binnen het netwerk te detecteren. Ze zijn niet ontworpen om te observeren hoe een aanval wordt opgebouwd in de eerste plaats.

Het infrastructuurlaag is nu het echte slagveld

Een van de belangrijkste bevindingen in het rapport is dat cyberaanvallen niet langer worden gedefinieerd door malware alleen. In plaats daarvan worden ze gedefinieerd door de infrastructuur die hen ondersteunt. Aanvallers investeren meer moeite in het opbouwen van robuuste, aanpasbare systemen die overleven en snel kunnen regenereren.

Deze verschuiving is zichtbaar in zowel criminele operaties als campagnes van nationale staten. Proxy-netwerken zijn een kerncomponent van bijna elke aanval geworden. Deze netwerken laten aanvallers toe om verkeer via gehackte apparaten te routeren, waardoor malafide activiteit kan lijken alsof het afkomstig is van legitieme gebruikers.

Tegelijkertijd verplaatsen aanvallers zich van eindpunten naar randapparaten zoals routers, VPN-gateways en firewalls. Deze systemen zitten op kritieke punten in het netwerk, hebben vaak zwakkere zichtbaarheid en bieden directe toegang tot interne systemen. Ze hebben ook vaak langere uptime en minder bewakingscontroles, waardoor ze ideale voetgangers zijn.

Het resultaat is een bedreigingslandschap waarin aanvallers opereren binnen de verbindingstissue van het internet, in plaats van aan de randen ervan.

Kunstmatige intelligentie versnelt het hele proces

Het rapport benadrukt hoe generatieve AI de snelheid van cyberoperaties aanzienlijk verhoogt. Taken die eerder menselijke coördinatie vereisten, kunnen nu worden geautomatiseerd. Aanvallers gebruiken AI om kwetsbaarheden te scannen, infrastructuur te genereren, exploits te testen en hun strategieën in real-time aan te passen.

Deze verschuiving comprimeert de tijdslijn van een aanval. Wat eerder dagen of weken duurde, kan nu in uren gebeuren. In sommige gevallen kunnen AI-gestuurde systemen netwerkcondities evalueren, het meest effectieve pad naar voren identificeren en tactieken zonder menselijke tussenkomst aanpassen.

Voor verdedigers creëert dit een nieuwe uitdaging. Beveiligingsteams staan niet langer tegenover statische bedreigingen. Ze staan tegenover systemen die continu evolueren, die reageren op verdedigingen terwijl ze worden ontmoet.

Cybercrime is een professionele industrie geworden

Een ander opvallend thema in het rapport is hoe cybercrime is geëvolueerd tot een gestructureerde, professionele ecosystem. Veel operaties lijken nu op legitieme technologiebedrijven. Ze bieden diensten aan, ondersteunen klanten en verbeteren continu hun producten.

Malware-platforms worden verkocht als abonnementsdiensten. Proxy-netwerken worden verhuurd op aanvraag. Toegang tot gehackte systemen kan worden gekocht en doorverkocht via markten. Verschillende actoren specialiseren zich in verschillende delen van de aanvalscyclus, van initiële toegang tot gegevensexfiltratie tot monetisatie.

Deze mate van organisatie stelt cybercriminelen in staat om hun operaties efficiënt te schalen. Het maakt hen ook robuuster. Wanneer één component wordt verstoord, kan een andere snel in de plaats komen.

Dezelfde infrastructuur wordt vaak gedeeld tussen meerdere groepen, waardoor de grens tussen criminele activiteit en nationale operaties vervaagd. Dit maakt attributie moeilijker en verhoogt het risico van misinterpretatie van de ware aard van een aanval.

Proxy-netwerken herdefiniëren vertrouwen op het internet

Een van de belangrijkste ontwikkelingen beschreven in het rapport is de opkomst van proxy-netwerken opgebouwd uit gehackte apparaten. Deze netwerken laten aanvallers toe om te opereren vanuit wat eruitziet als normale residentiële of commerciële IP-adressen.

Vanuit het perspectief van de verdediger is dit een groot probleem. Traditionele beveiligingsmodellen vertrouwen zwaar op vertrouwenssignalen zoals locatie, IP-reputatie en netwerkeigendom. Proxy-netwerken ondermijnen al deze signalen.

Een aanvaller kan eruitzien als een legitieme gebruiker die verbinding maakt vanaf een residentieel netwerk. Ze kunnen geolocatiecontroles omzeilen, detectiesystemen ontwijken en naadloos in normale verkeerspatronen opgaan.

Dit betekent dat wat er schoon uitziet, niet noodzakelijkerwijs veilig is. Het internet zelf is een vermomming geworden.

Zelfs eenvoudige aanvallen zijn opnieuw uitgevonden

Het rapport toont ook aan dat oudere technieken zoals brute force-aanvallen verre van verouderd zijn. In plaats daarvan zijn ze getransformeerd door schaal en automatisering.

Aanvallers hebben nu toegang tot enorme datasets van gestolen referenties. Ze combineren dit met gedistribueerde infrastructuur en AI-gestuurde tools om verificatiesystemen over duizenden doelen tegelijk te testen. Deze aanvallen zijn niet langer willekeurig. Ze zijn gericht, persistent en zeer efficiënt.

Wat ze bijzonder gevaarlijk maakt, is dat ze vaak dienen als de eerste stap in een grotere operatie. Zodra toegang is verkregen, kunnen aanvallers dieper in het netwerk doordringen, extra tools implementeren en langdurige controle vestigen.

Nationale operaties worden infrastructuurplatforms

Het rapport benadrukt hoe nationale actoren langdurige infrastructuur opbouwen die meerdere campagnes over tijd ondersteunt. Deze operaties zijn ontworpen voor flexibiliteit. Ze kunnen worden gebruikt voor verkenning, exploitatie of onderbreking, afhankelijk van het doel.

In plaats van te focussen op één doel, creëren deze systemen een fundament dat kan worden hergebruikt voor verschillende operaties. Ze zijn ontworpen om te schalen, aan te passen en te persisten, zelfs onder druk.

In sommige gevallen bouwen aanvallers geen eigen infrastructuur. Ze nemen systemen over die al door andere groepen worden gecontroleerd en gebruiken ze als een springplank voor hun eigen operaties. Dit voegt een extra laag complexiteit toe en maakt het nog moeilijker om te begrijpen wie achter een aanval zit.

De toekomst van cybersecurity zal worden gedefinieerd door zichtbaarheid

Kijkend naar de toekomst, identificeert het rapport verschillende verschuivingen die het bedreigingslandschap in 2026 en daarna zullen vormgeven. De belangrijkste hiervan is het idee dat risico zal worden gedefinieerd door blootstelling.

Aanvallers scannen het internet continu. Elk systeem dat zichtbaar en kwetsbaar is, zal uiteindelijk worden aangevallen. Het maakt niet uit tot welke industrie het behoort. Kans is de drijvende factor.

Tegelijkertijd zullen de belangrijkste signalen niet afkomstig zijn van individuele apparaten. Ze zullen afkomstig zijn van patronen in het netwerk. De manier waarop systemen communiceren, de manier waarop infrastructuur wordt opgebouwd en verlaten, en de manier waarop verkeer over het internet stroomt, zal aanvallen onthullen voordat ze hun doelen bereiken.

Dit vereist een andere aanpak van beveiliging. In plaats van alleen te focussen op eindpunten en waarschuwingen, moeten organisaties de bredere omgeving begrijpen waarin aanvallen worden gevormd.

Een nieuwe aanpak van verdediging

Het rapport maakt duidelijk dat traditionele defensieve strategieën niet langer voldoende zijn. Organisaties moeten eerder in de aanvalscyclus treden. Ze moeten zich richten op het detecteren en verstoren van de infrastructuur die aanvallen mogelijk maakt, niet alleen de aanvallen zelf.

Dit betekent dat randapparaten als kritieke activa moeten worden behandeld. Het betekent dat verkeer moet worden gemonitord dat het netwerk binnenkomt en verlaat. Het betekent dat relaties tussen systemen moeten worden begrepen in plaats van te vertrouwen op statische indicatoren.

Het betekent ook dat de grens tussen criminele activiteit en door de staat gesponsorde operaties steeds vager wordt. Elke inbraak moet als potentieel strategisch worden behandeld.

De echte les van het rapport

De belangrijkste conclusie uit De 2026 Lumen Defender Threatscape Report is dat cyberaanvallen niet langer geïsoleerde gebeurtenissen zijn. Ze zijn opgebouwde systemen. Ze worden gepland, getest en verfijnd lang voordat ze worden uitgevoerd.

Op het moment dat een waarschuwing wordt geactiveerd, is de aanvaller al in de omgeving aanwezig in enige vorm. De voorbereidingen zijn al getroffen.

De organisaties die slagen in deze nieuwe omgeving zullen degene zijn die hun focus verschuiven. Ze zullen kijken voorbij het eindpunt. Ze zullen kijken voorbij de inbraak. Ze zullen zich richten op de infrastructuur die deze aanvallen mogelijk maakt.

Door dit te doen, zullen ze het ene voordeel behalen dat het meest telt in moderne cybersecurity. Ze zullen de aanval zien voordat het begint.