--- title: "Iedereen kan nu hacken" date: 2026-10-23 language: nl topics: [] source_url: https://willem.com/nl/2026-10-23_iedereen-kan-nu-hacken/ --- # Iedereen kan nu hacken *Tijd om je beveiliging serieus te nemen* > Over nieuws schrijf ik hier zelden, de 'waan van de dag' laat ik graag aan anderen over. Maar er is dit jaar iets veranderd in cyberbeveiliging, en dat is niet één lek. Het is dat iedereen nu kan hacken. Geef een AI/LLM een zwakke plek, of alleen een richting, en het vindt het gat, en als je het toestaat zelfs de exploit. De vraag "waarom zouden ze mij hacken?" heeft zijn betekenis verloren. Tijd om door te pakken! ## De schaal is deze keer anders Deze week trof een kritiek lek een programmeertaal waar een groot deel van het web op draait. Matthew Prince, de CEO van Cloudflare, [telde op X](https://x.com/eastdakota/status/2113079352682570051) (22 oktober 2026): duizenden aanvalspogingen in de tien uur vóór de publieke bekendmaking, tienduizenden in de 45 minuten erna, honderdduizenden binnen twee uur, miljoenen de dag erop. Jason Clinton, hoofd beveiliging bij Anthropic, [schreef diezelfde dag](https://x.com/JasonDClinton/status/2113325263157395456): ga nu naar je bestuur en vraag om hulp, niet voor AI, voor de basis. Dit is waarom ik denk dat het meer is dan één slechte week. Het meeste code op internet is nog nooit gelezen door een machine die hem begrijpt. Veel zwakke plekken bleven verborgen omdat ze obscuur, abstract of wiskundig zijn. Een mens had echte hackervaardigheden nodig, tijd en wat geluk om er één te vinden. Een model heeft het geduld en de scherpte om veel meer aanvalsvectoren te testen, op veel meer code, dan welk team mensen ook. Bots en agents kammen het web systematisch uit, op een schaal en met een kunde die we niet eerder zagen, en ze worden elke maand beter. Niemand is nog te klein om gevonden te worden. ![Global AppSec Amsterdam 2019. Ik bezoek deze conferenties zelf: de hackers, onderzoekers en CISO's die je daar ontmoet zien het eerst wat eraan komt](https://willem.com/global/images/8d096c9c5a49.webp) ## Doorpakken Er is geen nieuwe truc. De basis is al twintig jaar dezelfde. Wat veranderd is, is de prijs van negeren. - **Blijf bij.** Installeer beveiligingsupdates snel, automatisch waar het kan. De tijd tussen een bekendmaking en massale exploit is nu minuten, geen weken. - **Maak backups.** Offsite, geroteerd en versleuteld. Eén kopie is geen backup. - **Test je backups.** Kun je echt terugzetten? Doe het, klok het, en doe het volgend kwartaal weer. - **Verklein je aanvalsoppervlak.** Minder draaiende onderdelen, minder publieke diensten, minder onderdelen die je niet zelf in de hand hebt. Elke plugin, elk account en elke dienst is een deur. - **Ga uit van het ergste.** Wat als al je data morgen gestolen en openbaar gemaakt wordt? Denk het vandaag door, en haal vooraf van tafel wat je kunt. Data die je niet nodig hebt, bewaar je niet. - **Kijk.** Houd een sterk, geautomatiseerd oog op je logs. De schade wordt bepaald door je reactietijd op de eerste afwijking, niet door de aanval zelf. ![2017: mijn server onder de vloer van het kantoor. Je kunt je data altijd onder de deurmat verstoppen... /s. Security by obscurity is geen goed idee, en is dat nooit geweest](https://willem.com/global/images/17aa8c676841.webp) ## De DigiDef-jaren Van 2015 tot 2019 deed ik dit werk onder een eigen naam: DigiDef, een bureau voor digitale verdediging. Beveiligingsaudits van servers, websites en apps, backup-audits voordat je ze echt nodig hebt, broncode-reviews, en achteraf uitzoeken hoe de hackers binnenkwamen. Een deel ervan schreef ik hier op: [vijf eenvoudige tips om je server te beschermen](https://willem.com/nl/2018-03-10_cyberbeveiliging-5-eenvoudige-tips-om-je-server-te-beschermen-tegen-hackers/), [de veiligheidsrisico's van shared hosting](https://willem.com/nl/2019-02-28_veiligheidsrisico-s-bij-shared-hosting/), [tien tips voor WordPress](https://willem.com/nl/2019-03-31_wordpress-10-tips-om-je-website-te-beveiligen/) en, later, [een back-uprotatieschema](https://willem.com/nl/2023-12-15_back-uprotatieschema/). digidef.nl is nu offline, maar ik vond het werk van DigiDef zo belangrijk dat ik het een vast onderdeel heb gemaakt van alles wat ik doe: websites die vooraf (static) worden gegenereerd, zonder iets op de server waar een bezoeker mee kan praten, servers met zo min mogelijk open deuren, logs die elke nacht gelezen worden, en backups die echt worden teruggezet. ![DigiDef, adviesbureau voor digitale verdediging, 2015 tot 2019](https://willem.com/global/images/e9f42942df27.webp) ## Hands-on Zo ziet het eruit in mijn eigen werk. Sinds 2016 wordt elke website die ik bouw vooraf gegenereerd: de pagina's worden één keer gemaakt, als platte statische bestanden, en de server geeft ze alleen nog af. Er zit geen applicatie achter het request van een bezoeker die gemanipuleerd kan worden om iets te doen wat niet de bedoeling is. Dat maakt de sites sneller en eenvoudiger, en er valt heel weinig aan te vallen. Minder bewegende delen is het hele idee. Al mijn servers sturen elke logregel naar het centrale logsysteem van het platform: zo'n 1,7 miljoen signalen per dag, gesorteerd op soort en per minuut geteld. Elke ochtend leest een beveiligingsronde het door, op zoek naar wat buiten de lijntjes valt: soorten regels die nog nooit gezien zijn, load op mail en ssh, mislukte renewals, blokkades, een service die fouten teruggeeft. Dezelfde ronde vergelijkt elke host met gisteren: openstaande beveiligingsupdates, open poorten, gebruikers, sleutels, cronjobs, en de lijst van bekende kwetsbaarheden tegen wat er echt geïnstalleerd is. Hij meldt zich alleen als er een hand nodig is. ![Vanochtend in mijn Contact-app: de beveiligingsronde vond zeven dingen die een hand nodig hebben, en zei dat](https://willem.com/global/images/27809e8f84d4.webp) Backups vertrekken elke nacht, naar een andere locatie, door een eenrichtingsdeur: de productiemachine bepaalt wat naar buiten gaat, de ontvangende kant kan niet terug naar binnen. Snapshots worden na de kopie gemaakt door een apart account, zodat zelfs een gekaapte verzender de geschiedenis niet kan wissen. Daarna loopt een onafhankelijke controle van buitenaf door de spiegel, vergelijkt een steekproef byte voor byte en geeft een oordeel. Die heeft de backup meer dan eens op een vals groen betrapt. Af en toe draai ik een echt disaster-recovery-scenario, zoals ik voor een van mijn klanten deed: begin met alleen de backups en breng de dienst ergens anders weer in de lucht. Het gat dat je zo vindt, dat ene bestand dat de nachtelijke kopie nooit meenam, staat nooit in een rapport dat alleen OK zegt. En ik blijf in "the loop" met de mensen in Silicon Valley die deze modellen bouwen en zich ertegen verdedigen; de twee citaten hierboven zijn daar een voorbeeld van. ## Een marathon, geen sprint Niemand is veilig. Hoe meer je weet en begrijpt van cyberbeveiliging, hoe meer je beseft dat er geen snelle oplossing is. Het is een 'duursport' inspanning, en die lijkt veel meer op een marathon dan op een sprint. Je houdt een tempo aan dat je kunt volhouden, je kijkt naar de weg voor je, je repareert wat je vandaag vindt, en morgen kijk je opnieuw. ![Köln Marathon, 4 oktober 2026: een tempo dat je kunt volhouden](https://willem.com/global/images/1e36ac60ab36.webp) ## Conclusie Cyberbeveiliging is geen theoretische ding meer. Bots en agents kammen het web systematisch uit, op een schaal die geen menselijk team kan evenaren, en ze vinden wat jaren verborgen bleef. Het antwoord is geen nieuw product. Het is de basis, goed gedaan en opnieuw gedaan: blijf bij, maak backups en test ze, draai minder onderdelen, ga uit van het ergste, en kijk naar je logs. Weet je niet zeker waar jouw deuren zitten? [Stuur me een bericht](https://willem.com/nl/#contact), ik doe dit al heel lang. De bots lopen al. Veters strikken dus!