Volgens de onderzoekers kiezen aanvallers hun slachtoffers steeds gerichter. Niet zozeer vanwege hun technische rechten, maar vanwege hun zogeheten business privileges. Managers hebben toegang tot gevoelige financiële informatie, budgetten, contracten, leveranciersgegevens en goedkeuringsprocessen. Een gecompromitteerd account kan cybercriminelen daardoor helpen om dieper de organisatie binnen te dringen, data buit te maken en uiteindelijk ransomware uit te rollen.
Cybersecurity wordt bestuurszaak
De bevindingen zijn extra actueel. Op 15 augustus 2026 treedt de Nederlandse Cyberbeveiligingswet in werking, de nationale uitwerking van de Europese NIS2-richtlijn. Organisaties die onder de wet vallen, moeten passende maatregelen nemen om cyberrisico's te beheersen én kunnen aantonen dat hun cybersecurity op orde is. De wet geldt voor organisaties in 18 sectoren, waaronder energiebedrijven, zorginstellingen, vervoerders, overheidsorganisaties, telecombedrijven en digitale dienstverleners.
De wet legt bovendien expliciet verantwoordelijkheid neer bij bestuurders. ICT valt vaak onder hun verantwoordelijkheid. Volgens de nieuwe regels moeten organisaties risico's beheersen, cyberincidenten melden en aandacht besteden aan de beveiliging van hun leveranciersketen. Bestuurders moeten voldoende kennis hebben om cyberrisico's en beveiligingsmaatregelen te beoordelen. Voor CFO's die deel uitmaken van het bestuur betekent dit dat cybersecurity nadrukkelijk ook tot hun verantwoordelijkheid behoort.
Daarmee verschuift cybersecurity nadrukkelijk van een IT-vraagstuk naar een governance- en controlvraagstuk. Een ransomware-aanval kan immers leiden tot operationele verstoringen, dataverlies, reputatieschade en hoge herstelkosten. Financiële beheersing gaat niet langer alleen over cijfers, processen en compliance, maar ook over de bescherming van kritische data en systemen. Digitale weerbaarheid wordt een integraal onderdeel van 'in control' zijn.
