Promotieonderzoek: 18 procent van ondernemers die slachtoffer werden van ransomware nam contact op met de politie

De Universiteit Leiden publiceerde op 6 oktober 2026 een bericht over het promotieonderzoek van criminoloog Sifra Matthijsse, verbonden aan het Instituut voor Strafrecht en Criminologie. Haar proefschrift Falling victim to ransomware: on the unfolding of attacks, victim-offender interactions and decision-making zou op 7 oktober 2026 in het Academiegebouw worden verdedigd. Het onderzoek brengt het verloop van ransomware-aanvallen in kaart, analyseert de onderhandelingen tussen daders en slachtoffers en onderzoekt welke afwegingen slachtoffers maken bij het betalen van losgeld en het melden van het incident. De juridische kern ligt bij de aangifte: ondernemers die slachtoffer werden, stapten veel minder vaak naar de politie dan ondernemers die in een fictief scenario aangaven dat te zullen doen. Volgens het Jaarbeeld Ransomware 2025 werd in 2025 van 65 ransomware-incidenten aangifte gedaan, waarbij het jaarbeeld zelf vermeldt dat het werkelijke aantal incidenten waarschijnlijk hoger ligt. Het proefschrift bouwt voort op eerder gepubliceerde deelstudies, waaronder een artikel in de Journal of Criminal Justice en een rapport in de reeks Politiekunde van Politie & Wetenschap.

Het verloop van een ransomware-aanval

Ransomware is kwaadaardige software die bestanden versleutelt, waarna de daders losgeld eisen om de toegang te herstellen. Volgens Matthijsse worden de bestanden tegenwoordig vaak ook gestolen. Het Nationaal Cyber Security Centrum bevestigt dat bij veel incidenten in 2025 naast versleuteling ook data werd buitgemaakt voor zogeheten dubbele afpersing, waarbij wordt gedreigd de gestolen gegevens te publiceren of te verkopen.

Matthijsse bracht de stappen van een aanval in kaart in een crime script-analyse. Volgens de projectpagina van De Haagse Hogeschool laat die analyse zien dat criminele groepen tijd, geld en moeite investeren in malware en infrastructuur, delen van het proces uitbesteden en slachtoffers soms zelfs klantenondersteuning bieden. Aan de basis staat een kerngroep die de malware ontwikkelt. Andere partijen, de zogeheten affiliates, krijgen toegang tot slachtoffers, voeren de aanval uit en ontvangen daarvoor een deel van de opbrengst. Bij grote groepen ging het volgens het universiteitsbericht om veertig tot soms honderd betrokkenen. Ook de toegang tot systemen wordt ingekocht bij partijen die zich daarin hebben gespecialiseerd.

Eenmaal binnen proberen daders zo ver mogelijk door te dringen, bij voorkeur tot beheerdersrechten, zodat het slachtoffer zich moeilijk zelf kan herstellen. Het slachtoffer merkt de aanval vaak pas op het moment van de losgeldeis. Wie betaalt, krijgt volgens het onderzoek meestal de bestanden terug; Matthijsse verklaart dat uit het belang van de daders bij hun reputatie richting volgende slachtoffers. Eén groep benadrukte in de onderzochte gesprekken al zes jaar te bestaan zonder dat een betalend slachtoffer zijn data niet had teruggekregen.

Onderhandelen en betalen

Uit gelekte chatgesprekken die Matthijsse analyseerde, blijkt dat internationaal veel met daders wordt onderhandeld. Bij kleine Nederlandse ondernemers gebeurt dat nauwelijks: volgens het universiteitsbericht nam 7 procent van de slachtoffers in het onderzoek contact op met de daders.

Het rapport Onderhandelen, betalen en melden na slachtofferschap van ransomware, dat Matthijsse in 2025 met Susanne van ‘t Hoff-de Goede en Rutger Leukfeldt publiceerde, is gebaseerd op vragenlijsten onder 856 burgers en 188 ondernemers die slachtoffer werden, een vragenlijst met een fictief scenario onder 4.082 burgers en 2.501 ondernemers die geen slachtoffer werden, en interviews met tien experts. Ongeveer 4,5 procent van de burgers en zzp’ers en 11,5 procent van de mkb’ers bleek ooit slachtoffer te zijn geworden. Slechts een enkele ondernemer onderhandelde na een aanval en minder dan één op de tien slachtoffers betaalde het losgeld. De hoogte van de losgeldeis, het hebben van een back-up, de dreiging van een datalek en het advies om te betalen speelden mee in de beslissing.

Het universiteitsbericht noemt als voorbeeld de hack bij laboratorium Clinical Diagnostics NMDL in Rijswijk, waarbij volgens de brief van de minister van Volksgezondheid, Welzijn en Sport van 11 augustus 2025 gegevens van ruim 485.000 deelnemers aan het bevolkingsonderzoek baarmoederhalskanker werden buitgemaakt. RTL Nieuws meldde op basis van bronnen dat het laboratorium losgeld heeft betaald, zoals Omroep Brabant overnam; een bedrag is niet bekend. Follow the Money berichtte over de beveiliging van het laboratorium. Matthijsse stelt in het universiteitsbericht dat betere maatregelen de kans op de aanval en de schade hadden kunnen verkleinen.

Het verschil tussen voornemen en aangifte

Het artikel To report or not to report, in februari 2025 verschenen in de Journal of Criminal Justice, onderzoekt het meldgedrag van zzp’ers en mkb’ers. Van de 2.496 ondernemers die geen slachtoffer waren, gaf ongeveer 92 procent in een vignet-experiment aan contact op te zullen nemen met de politie. Van de 189 ondernemers die wel slachtoffer werden, deed ongeveer 18 procent dat. Volgens het universiteitsbericht deed vervolgens 26 procent van die groep daadwerkelijk aangifte. Slachtoffers gaven als redenen dat zij het probleem zelf of met hulp van een andere partij, zoals een cybersecuritybedrijf, hadden opgelost, en dat de politie er volgens hen niets aan zou doen. Melden bij andere organisaties hing samen met de emotionele en financiële impact van de aanval; voor melden bij de politie door slachtoffers gold dat verband niet.

Matthijsse wijst erop dat een slachtoffer met versleutelde bestanden een acute oplossing nodig heeft, die de politie meestal niet kan bieden. Zij benadrukt tegelijk dat melden van belang blijft en dat de complexiteit en het internationale karakter van opsporingsonderzoeken niet betekenen dat de politie niets kan doen. De politie schreef in januari 2025 dat de technische gegevens uit een aangifte soms ontbrekende informatie opleveren om een systeem te ontgrendelen en helpen bij het vinden van verdachten. Het NCSC voegt daaraan toe dat aangifte ook na betaling van het losgeld informatie voor de politie oplevert.

Het Jaarbeeld Ransomware 2025

Het Jaarbeeld Ransomware 2025 verscheen op 25 februari 2026 en is samengesteld door het NCSC, de politie, het Openbaar Ministerie, Cyberveilig Nederland en een reeks incident-responsebedrijven. In 2025 werd van 65 ransomware-incidenten aangifte gedaan en schoten bij 40 incidenten incident-responsebedrijven te hulp. Toegang werd meestal verkregen via misbruik van kwetsbaarheden en accountovernames, waarbij accountovernames relatief vaker voorkwamen dan in 2024. Er werden 39 unieke ransomwarefamilies waargenomen. De politie meldde dat het aantal incidenten lager lag dan het jaar ervoor.

Het universiteitsbericht noemt verder het cijfer van rond de 2,5 miljoen Nederlanders die in 2025 slachtoffer werden van cybercrime of online fraude. Dat cijfer is terug te vinden in de Veiligheidsmonitor 2025 van het CBS: 17 procent van de bevolking van 15 jaar of ouder werd in 2025 slachtoffer van een of meer online delicten. Online criminaliteit bij bedrijven valt buiten die meting.

Project Melissa en de actie tegen DeadBolt

In Project Melissa werken de politie, het Openbaar Ministerie, het NCSC, Cyberveilig Nederland en cybersecuritybedrijven samen bij de bestrijding van ransomware. Het samenwerkingsverband ontstond in 2022; het convenant werd in 2023 ondertekend. Een evaluatie door onderzoekers van de Universiteit Leiden uit april 2025 noemt de ontmanteling van het Qakbot-botnet, dat werd gebruikt om ransomware-aanvallen voor te bereiden, als resultaat van de samenwerking. De evaluatie wijst ook op de afhankelijkheid van vrijwillige inzet van middelen en op juridische vragen rond het delen van informatie.

Het universiteitsbericht verwijst daarnaast naar de actie tegen de ransomwaregroep DeadBolt, die netwerkopslagapparaten versleutelde. Volgens de politie ging het om 20.000 apparaten wereldwijd, waarvan minstens 1.000 in Nederland. Op 13 oktober 2022 verstuurde de politie, na een tip van het cybersecuritybedrijf Responders.NU, bitcoinbetalingen aan de groep, ontving zij de decryptiesleutels en trok zij de betalingen daarna weer in voordat die definitief waren verwerkt. Dat leverde 155 sleutels op. Alle Nederlandse slachtoffers die aangifte hadden gedaan, kregen een sleutel; voor de andere landen die hun aangiftes hadden gedeeld ging het om bijna 90 procent van de slachtoffers. Het Openbaar Ministerie, Europol, de Franse nationale politie en de Gendarmerie verleenden medewerking.

Afsluiting

De verdediging van het proefschrift van Sifra Matthijsse stond gepland op 7 oktober 2026 aan de Universiteit Leiden. Het onderzoek beschrijft ransomware als een keten van ontwikkelaars, affiliates en verkopers van systeemtoegang, en laat zien dat ongeveer 18 procent van de ondernemers die slachtoffer werden contact opnam met de politie, tegenover ongeveer 92 procent die dat in een fictief scenario zei te zullen doen. De deelstudies zijn eerder verschenen in de Journal of Criminal Justice en in de reeks Politiekunde. Het Jaarbeeld Ransomware 2025 telt 65 aangiftes van ransomware-incidenten over 2025 en vermeldt dat het werkelijke aantal incidenten waarschijnlijk hoger ligt.

Klik hier voor het bericht van de Universiteit Leiden over het proefschrift.