Vigil volgt 340 groepen doorlopend. Hieronder de zes die op dit moment het meest actief zijn richting Nederlandse en Europese organisaties, met wat we van hun werkwijze weten.
De verhoging staat sinds eind juli en komt vrijwel volledig op het conto van ZOUTKRAAI, dat zijn tempo in de zorg heeft opgevoerd, en van een aanhoudende verkenningscampagne in de Rotterdamse logistieke keten. Voor de meeste sectoren buiten zorg, logistiek en energie is het beeld onveranderd.
Vastgesteld 6 augustus 2026, 09:00 CEST · volgende herziening 13 augustus
Escalatieoverleg, kritieke melding
Een melding op kritiek gaat niet in een wachtrij. Binnen enkele minuten staat er een tweede analist bij, wordt het patroon tegen andere klanten gelegd, en gaat de telefoon over bij de contactpersoon die daarvoor is aangewezen.
Ransomware-affiliate die sinds april is overgestapt van eigen phishingcampagnes naar het inkopen van geldige VPN-sessies bij toegangshandelaren. Dat halveert de doorlooptijd: gemiddeld 41 uur tussen eerste toegang en versleuteling, waar dat vorig jaar nog vier dagen was.
Langlopende spionagecampagne gericht op de logistieke keten rond Rotterdam. Opvallend geduldig: mediaan zeven maanden tussen binnenkomst en de eerste waargenomen exfiltratie. De interesse gaat naar vrachtdocumentatie en havenplanning, niet naar geld.
Gespecialiseerd in factuurfraude bij middelgrote bedrijven. Registreert merkdomeinen weken van tevoren en houdt ze slapend tot er een betaalcyclus loopt. De uiteindelijke mail komt vrijwel altijd op een donderdagmiddag.
Losse coalitie die rond politieke momenten DDoS-acties en defacements coördineert. Technisch weinig diepgang, maar de aankondigingen staan dagen van tevoren open en toegankelijk in de eigen kanalen, wat het een van de best voorspelbare dreigingen maakt die we volgen.
Geen aanvaller maar een leverancier: verzamelt infostealer-logs en verkoopt de bruikbare sessies door aan groepen als ZOUTKRAAI. Wie hier opduikt, heeft doorgaans nog twee tot drie weken voordat de toegang daadwerkelijk gebruikt wordt.
Richt zich op onderzoeksinstellingen en hightech-toeleveranciers. Werkt vrijwel uitsluitend via legitieme beheertools die al op het netwerk staan, waardoor er nauwelijks iets te detecteren valt op bestandsniveau. De sporen zitten in het gedrag, niet in de malware.
Wat er is veranderd in het beeld, en waarom het dreigingsniveau eind juli is bijgesteld.
Dezelfde ingekochte VPN-toegang, dezelfde doorlooptijd. Alle drie de gevallen zijn te herleiden tot credentials die eerder bij GRAUWE MIST te koop stonden.
Aanleiding: het tempo van ZOUTKRAAI in de zorg, gecombineerd met aanhoudende verkenning in de logistieke keten.
De campagne verbreedt zich van reders naar expediteurs. Beide gevallen kwamen binnen via een gedeelde documentportaalleverancier.
Aankondiging voor drie dagen rond een beleidsdebat. Effect bleef beperkt tot enkele uren verminderde bereikbaarheid bij twee gemeenten.
Dezelfde groep heet bij vier leveranciers vier dingen. Dat maakt het onmogelijk om over meerdere jaren één dossier op te bouwen, dus geven we elke groep die wij zelf volgen één naam, en houden we de aliassen erbij.
Elke groep krijgt een naam uit hetzelfde register: vogels, water, weer. Neutraal, uitspreekbaar in een vergadering, en niet suggestief over herkomst.
We schrijven op hoe zeker we zijn en waarom. "Vermoedelijk statelijk" betekent iets anders dan "statelijk", en dat verschil hoort in de melding te staan.
Bij elk dossier staat welke namen andere leveranciers en overheden voor dezelfde activiteit gebruiken, zodat je meldingen naast elkaar kunt leggen.
De nulmeting laat zien welke van deze groepen jouw keten al hebben aangeraakt, en wat er van je organisatie zichtbaar is.