Ransomware is allang geen uitsluitend IT-vraagstuk meer. Industriële bedrijven worden in toenemende mate getroffen, met stilstaande productie, forse schade en in sommige gevallen gevolgen voor de fysieke veiligheid. Hieronder een analyse van drie aanvallen op industriële organisaties, met de lessen die daaruit volgen voor uw eigen OT-beveiliging.
De cijfers: volgens het OT Cybersecurity Year in Review 2026 van Dragos werden in 2025 wereldwijd 3.300 industriële organisaties getroffen door ransomware, tegen 1.693 het jaar daarvoor. De ransomware-activiteit nam met 64% toe en het aantal actieve groepen dat zich op industriële doelen richt steeg van 80 naar 119. De maakindustrie was daarbij de zwaarst getroffen sector.
Case 1: Colonial Pipeline (VS, 2021)
Wat gebeurde er?
De groep DarkSide versleutelde de IT-systemen van Colonial Pipeline, de grootste brandstofpijpleiding van de Verenigde Staten. De OT-systemen bleven buiten schot, maar het bedrijf legde de pijpleiding preventief stil omdat onvoldoende zicht bestond op mogelijke verspreiding naar de productieomgeving.
Impact
- zes dagen geen brandstoflevering aan de Amerikaanse oostkust
- circa 3,6 miljoen euro (4,4 miljoen dollar) losgeld betaald
- hamsteren en tekorten bij tankstations
Les
Zonder segmentatie tussen IT en OT wordt een IT-incident vanzelf een OT-crisis, ook wanneer de productiesystemen zelf niet zijn geraakt. Wie niet kan vaststellen hoe ver een besmetting reikt, moet uit voorzorg afschakelen. Zicht op de grens tussen beide netwerken is daarmee geen luxe maar een voorwaarde om een proportioneel besluit te kunnen nemen.
Case 2: Norsk Hydro (Noorwegen, 2019)
Wat gebeurde er?
De LockerGoga-ransomware versleutelde duizenden servers en werkstations bij de aluminiumproducent. De aanval begon met een phishingmail en verspreidde zich via Active Directory over het volledige bedrijfsnetwerk.
Impact
- productie in meerdere fabrieken moest handmatig worden aangestuurd
- geschatte schade van meer dan 60 miljoen euro
- het herstel nam maanden in beslag
Les
Active Directory is bij ransomware het voornaamste doelwit, omdat het de sleutel tot alle overige systemen bevat. Beveilig de directoryomgeving navenant, en zorg dat OT-systemen niet afhankelijk zijn van dezelfde domeincontrollers als de kantoorautomatisering.
Case 3: JBS Foods (Brazilië/VS, 2021)
Wat gebeurde er?
De REvil-ransomware trof de IT-systemen van de grootste vleesverwerker ter wereld. Fabrieken in de Verenigde Staten, Australië en Canada moesten sluiten.
Impact
- productie in meerdere landen stilgelegd
- circa 9,1 miljoen euro (11 miljoen dollar) losgeld betaald
- verstoring in de voedselketen
Les
Ook wanneer de procesautomatisering niet rechtstreeks wordt geraakt, kan een IT-aanval de gehele operatie stilleggen. Een incident response plan dat uitsluitend de IT-omgeving beschrijft, dekt dat scenario niet.
Wat kunt u doen?
Uit deze drie casussen volgen zes maatregelen die in alle gevallen het verschil hadden gemaakt:
- Netwerksegmentatie. Scheid IT en OT via een gecontroleerde DMZ, zodat u bij een incident weet waar de grens ligt.
- Offline back-ups. Zorg dat back-ups niet bereikbaar zijn vanuit het netwerk dat versleuteld kan raken.
- Een incident response plan voor OT, inclusief procedures voor handmatige bediening van het proces.
- Patchmanagement dat ook firmware op OT-apparatuur omvat, met onderhoudsvensters die vooraf zijn ingepland.
- Bewustwording. Phishing blijft de meest gebruikte toegangsweg, ook bij aanvallen die uiteindelijk de productie raken.
- OT-monitoring om afwijkend gedrag op het industriële netwerk te signaleren voordat het proces stilvalt.
Wilt u uw OT-omgeving testen op ransomware-weerbaarheid?
Resotech voert OT-risicoanalyses uit en vertaalt de uitkomst naar maatregelen tegen ransomware die in uw omgeving uitvoerbaar zijn.
Plan een gesprek Gratis OT-scan