CrowdStrike Global Threat Report: het jaar van de “evasive adversary”
In 2025 werden aanvallers sneller, slimmer en vooral: minder zichtbaar. Het CrowdStrike 2026 Global Threat Report schetst een dreigingsbeeld waarin tegenstanders steeds vaker misbruik maken van vertrouwen: legitieme accounts, vertrouwde cloud-diensten, SaaS-integraties en software supply chains. Het resultaat is een type aanval dat moeilijk te onderscheiden is van normale activiteit — met een impact die in minuten kan ontstaan.
Tegelijkertijd is 2025 het jaar waarin de AI-adversary écht opschaalde. AI versnelt phishing, automatiseren van reconnaissance en het “troubleshooten” van aanvalstechnieken. En daar stopt het niet: AI-systemen zelf worden een nieuw doelwit en onderdeel van het aanvalsvlak
Belangrijkste inzichten uit het rapport over 2025
- Aanvallen gaan sneller dan ooit
De tijd tussen initiële toegang en laterale beweging (“breakout time”) daalde naar gemiddeld 29 minuten in 2025. Dat is een versnelling van 65% ten opzichte van 2024. De snelste breakout die CrowdStrike observeerde was slechts 27 seconden. - Steeds meer intrusions zijn malware-vrij
In 82% van de detecties in 2025 was er sprake van malware-free activiteit. Aanvallers leunen op geldige credentials, admin-tools en “living off the land”-technieken om onder de radar te blijven. - AI versnelt en democratiseert aanvalscapaciteit
CrowdStrike zag een 89% jaar-op-jaar toename in aanvallen door AI-enabled adversaries. AI verhoogt niet alleen de schaal, maar tilt ook minder geavanceerde actoren naar een niveau dat voorheen meer expertise vereiste. - Cloud en identiteit staan centraal
Cloud-conscious intrusions stegen met 37% in 2025. Bij state-nexus actoren was die groei zelfs 266%. Daarnaast was valid account abuse verantwoordelijk voor 35% van de cloud-incidenten, een duidelijke bevestiging dat identiteit hét slagveld is. - Zero-days en edge devices verkorten het verdedigingsvenster
Zero-day exploitatie vóór publieke bekendmaking nam met 42% toe. China-nexus activiteit steeg 38% in 2025, en in 67% van de door hen misbruikte kwetsbaarheden gaf de flaw direct systeemtoegang. Bovendien richtte 40% van die exploitatie zich op internet-facing edge devices (zoals VPN’s, firewalls en gateways). - Supply chain aanvallen vergroten de blast radius
Aanvallers kiezen vaker voor compromitteren “upstream” (softwareleveranciers, repositories, CI/CD) om downstream organisaties op schaal te raken. Het rapport beschrijft o.a. de grootste gemelde cryptodiefstal ooit: $1,46 miljard, mogelijk gemaakt via een supply chain-compromis.
Productiebedrijven steeds vaker doelwit
Aanvallen op industriële organisaties en hun leveranciersketens leidden tot verstoringen in productieprocessen. De snelheid waarmee aanvallers zich binnen netwerken bewegen maakt een strikte scheiding tussen IT en OT en duidelijke ketenafspraken noodzakelijk.
Wat betekent dit voor organisatie?
De rode draad is duidelijk: vertrouwen is het nieuwe aanvalsvlak. Aanvallers bewegen via geautoriseerde paden (identity, SaaS, cloud, supply chain) en vermijden zwaar gemonitorde endpoints. Daardoor ontstaan blinde vlekken precies op de plekken waar bedrijfsprocessen het meest afhankelijk zijn van continuïteit.
Daarbij is “reactief” verdedigen steeds minder effectief. Als exfiltratie binnen minuten start en breakout in seconden kan plaatsvinden, dan is snelheid in detectie, besluitvorming en response cruciaal. Idealiter ondersteund door automatisering en cross-domain correlatie.
Aanbevolen maatregelen (gebaseerd op de aanbevelingen uit het rapport)
- Secure AI: bescherm AI-systemen én AI-gebruik
- Richt AI-governance en monitoring in op gebruik van AI-tools door medewerkers.
- Pas toegangscontrole en dataclassificatie toe om datalekken te beperken.
- Beveilig eigen AI-workloads tegen runtime-aanvallen zoals prompt injection.
- Beoordeel leveranciers/ketens die onderdeel zijn van AI-ontwikkeling en -integraties.
- Behandel identity en SaaS als primaire attack surfaces
- Implementeer phishing-resistente MFA waar mogelijk.
- Dwing least privilege af voor (ook) service accounts en non-human identities.
- Monitor anomalous token- en SaaS-activiteit (OAuth, sessies, API keys).
- Elimineer cross-domain blind spots
- Consolideer telemetry over endpoint, cloud, identity, SaaS en netwerk.
- Correlatie en detections over domeinen heen (XDR + next-gen SIEM workflows).
- Automatiseer enrichment met threat intelligence om attack paths sneller te zien.
- Beveilig de software supply chain en developer workflows
- Harden developer endpoints en CI/CD.
- Valideer dependencies en package integrity (scanning, signing, beleid).
- Voer third-party risk assessments uit op tools en leveranciers.
- Prioriteer patching en monitoring van edge devices
- Triage en patch internet-facing systemen versneld (streef naar uren/dagen, niet weken)
- Verbeter logging/monitoring op VPN, firewalls en virtualisatieplatformen
- Segmenteer om laterale beweging vanaf perimeter te beperken
Kort samengevat
2025 liet zien dat de meest succesvolle aanvallen niet per se “nieuwer” zijn, maar sneller, slimmer en beter verstopt via identiteit, cloud, SaaS en supply chains. De organisaties die in 2026 het verschil maken, zijn degenen die hun verdediging net zo cross-domain en snel organiseren als de tegenstander opereert.
Wil je sparren over wat deze inzichten betekenen voor jouw organisatie (identity, SaaS, cloud en edge)? Neem contact op met OpenSight voor een gerichte risicoanalyse en concrete verbeterstappen.
