Onderwijsinstellingen betalen na een ransomware-aanval fors meer voor herstel dan organisaties in andere sectoren, en ze zijn langer uit de lucht. Tegelijk verschuift de aanvalsmethode: niet de technische kwetsbaarheid maar de digitale identiteit van gebruikers is de voornaamste ingang geworden. Dat blijkt uit het jaarlijkse State of Ransomware in Education-onderzoek van beveiligingsbedrijf Sophos.

Het onderzoek is gebaseerd op de ervaringen van 226 IT- en securityverantwoordelijken bij onderwijsinstellingen in zeventien landen die het afgelopen jaar getroffen werden door ransomware. Sophos splitst de resultaten naar lager onderwijs (basis- en voortgezet onderwijs) en hoger onderwijs (universiteiten en hogescholen), en zet ze af tegen een bredere groep van 2.158 organisaties in vijftien sectoren. Beide segmenten laten een ander kwetsbaarheidspatroon zien, maar de conclusie is voor beide hetzelfde: onderwijs is een relatief makkelijk doelwit.

Identiteit als voordeur

Bij 85 procent van de ransomware-aanvallen op onderwijsinstellingen begon de aanval met een kwaadaardige e-mail, phishing, gestolen inloggegevens of een brute-force-aanval. Dat ligt boven het gemiddelde van 79 procent over alle onderzochte sectoren. Kwaadaardige e-mail was de meest voorkomende aanvalsmethode, bij zowel lager onderwijs (31 procent) als hoger onderwijs (29 procent).

Ransomware en identiteitsmisbruik blijken in het onderwijs nauw verweven. Bij 71 procent van de getroffen instellingen in het lager onderwijs en 77 procent in het hoger onderwijs begon de ransomware-aanval met het misbruik van een account of inloggegevens, en was dat tegelijk het zwaarste beveiligingsincident van het jaar.

Het gebruik van multifactorauthenticatie (MFA), biedt daarbij overigens geen garantie. Bij 98 procent van de onderwijsinstellingen waar de aanval via gestolen inloggegevens begon, was een of andere vorm van MFA actief. Toch werd bij 81 procent van die groep alsnog data versleuteld door ransomware. “MFA was in bijna alle gevallen aanwezig, maar de versleutelingspercentages bleven hoog”, schrijven de onderzoekers. Dat wijst er volgens hen op dat MFA niet breed genoeg was uitgerold, dat aanvallers manieren vonden om de beveiliging te omzeilen, of dat de aanval niet uitsluitend via inloggegevens liep.

Waar het exact mis gaat, verschilt tussen het lager en hoger onderwijs. Opvallend genoeg gaf juist het hoger onderwijs aan vooral een expertiseprobleem te hebben. Van de getroffen instellingen gaf 53 procent aan dat ze niet over de kennis of vaardigheden beschikten om de aanval tijdig te detecteren en te stoppen. Over alle sectoren heen lag dat percentage op 35 procent.

Het lager onderwijs worstelt voornamelijk met capaciteit en menselijke fouten. Menselijke fouten werden door 52 procent van de respondenten genoemd als oorzaak, gebrek aan bescherming door 47 procent, onbekende beveiligingslekken door 42 procent en een tekort aan mensen door 41 procent.

Ransomware maakt come-back

De cijfers over ransomware laten een forse terugval zien in het lager onderwijs. Vorig jaar leek die sector goed op weg, slechts 29 procent van de aanvallen slaagde erin data te versleutelen, het laagste percentage van alle sectoren. Die situatie is veranderd. In 2026 is het versleutelingspercentage in het lager onderwijs meer dan verdubbeld naar 61 procent, boven het sectorgemiddelde van 56 procent. Slechts 37 procent van de aanvallen werd nog vóór versleuteling gestopt, tegen 67 procent een jaar eerder. Het rapport verklaart de stijging niet. Bekeken over een langere reeks lijkt niet 2026 maar juist 2025 de uitschieter: in 2023 en 2024 lag het versleutelingspercentage in het lager onderwijs boven de 80 procent. Waarom het vorig jaar zo scherp daalde en nu weer terugveert, laten de onderzoekers in het midden.

Daarbij nam ook de zogenaamde double extortion weer toe: aanvallen waarbij data niet alleen wordt versleuteld maar ook gestolen, zodat aanvallers een extra drukmiddel hebben. Bij het lager onderwijs steeg dat aandeel van 7 procent naar 21 procent. Het hoger onderwijs bleef stabieler met een versleutelingspercentage van 54 procent, een lichte daling ten opzichte van vorig jaar (58 procent).

Eigen herstelvermogen

Maar, er is ook positief nieuws. Onderwijsinstellingen leunen steeds meer op eigen herstelvermogen. Bij het lager onderwijs herstelde 77 procent van de instellingen versleutelde data met back-ups, ruim boven het sectorgemiddelde van 66 procent. Bij het hoger onderwijs was dat 69 procent. Tegelijk daalt het percentage instellingen dat losgeld betaalt: in het lager onderwijs van 62 procent in 2024 naar 43 procent in 2026, in het hoger onderwijs van 67 naar 51 procent.

“Doordat back-upherstel stijgt en betaling via losgeld daalt, herstelt het onderwijs steeds meer op eigen kracht in plaats van op de medewerking van de aanvallers”, concludeert het rapport. Die verschuiving is belangrijk, want ze vermindert de financiële prikkel voor aanvallers om het onderwijs te blijven targeten.

De rekening loopt op

De keerzijde van dat eigen herstelvermogen is dat het herstel steeds meer kost en steeds langer duurt. De gemiddelde herstelkosten voor het onderwijs kwamen uit op 2,26 miljoen dollar, boven het sectorgemiddelde van 1,7 miljoen dollar. Het lager onderwijs zat op 2,46 miljoen dollar, het hoger onderwijs op 1,99 miljoen dollar. Dat laatste bedrag is toch wel opmerkelijk: het hoger onderwijs verdubbelde in één jaar van 0,9 naar bijna 2 miljoen dollar aan herstelkosten. Het gaat om de totale kosten om de gevolgen van de aanval te verhelpen, exclusief eventueel betaald losgeld. Maar waar deze sterke stijging precies door komt, wordt niet duidelijk uit het rapport.

Ook de hersteltijd valt op. Bij 31 procent van de instellingen in het lager onderwijs duurde het een maand of langer om volledig te herstellen, meer dan in welke andere sector ook. Over alle sectoren heen had slechts 14 procent van de getroffen organisaties zoveel tijd nodig. Aan de snelle kant van het spectrum herstelde maar 6 procent van het lager onderwijs binnen een dag, tegen 16 procent gemiddeld.

Aanvallers eisten van onderwijsinstellingen doorgaans zo’n 775.000 dollar aan losgeld, iets boven de 698.000 dollar die over alle sectoren gebruikelijk was. De werkelijke betaling lag lager: onderwijsinstellingen betaalden doorgaans 515.000 dollar, onder de 769.000 dollar in andere sectoren. Maar er zit een opvallende staart in de verdeling: 23 procent van de betalende onderwijsinstellingen betaalde vijf miljoen dollar of meer, tegen 16 procent over alle sectoren.

De menselijke tol

De impact op securityteams is misschien nog wel het scherptste signaal in het rapport. Bij 39 tot 40 procent van de onderwijsteams vielen medewerkers uit door stress of psychische klachten als gevolg van de aanval, tegen 29 procent gemiddeld. In het hoger onderwijs meldde 53 procent van de teams verhoogde druk van het bestuur, dertien procentpunten boven het gemiddelde. En bij ongeveer 28 procent van de teams werd de leidinggevende vervangen na de aanval.

Het lager onderwijs laat een dubbel beeld zien. Aan de ene kant kreeg 49 procent van de teams meer erkenning van het management, boven het gemiddelde van 36 procent. Aan de andere kant rapporteerde 43 procent een structureel hogere werkdruk, tegen 31 procent gemiddeld. Meer zichtbaarheid, maar ook een zwaardere en aanhoudende last die werd gevoeld.

De cijfers sluiten aan bij een bredere trend die het rapport signaleert: de aanvalsvectoren worden gevarieerder, geen enkele methode domineert nog, en afzonderlijke beveiligingsmaatregelen zoals MFA of firewalls detecteren de aanval wel maar stoppen hem niet. Dat het onderwijs menselijke fouten en gebrek aan expertise als belangrijkste oorzaken noemt terwijl de technische basisbeveiliging grotendeels op orde is, suggereert dat de sector niet zozeer een technologieprobleem heeft als wel een mensenprobleem.