Het Britse National Cyber Security Centre verwacht dat AI-malware nog voor 2028 wordt ingezet bij een ransomware-aanval op vitale infrastructuur. In het nieuwe rapport State of the Cyber Nation stelt topman Richard Horne dat organisaties te lang hebben bezuinigd op beveiliging. De Britse overheid trekt extra geld uit voor AI-gedreven cyberverdediging.
Het NCSC is onderdeel van inlichtingendienst GCHQ. Volgens het centrum is het “zeer waarschijnlijk” dat kwaadwillenden binnen twee jaar AI gebruiken om hun operaties te vergroten en efficiënter te maken. Dat geldt voor ransomware, maar ook voor social engineering en het misbruiken van kwetsbaarheden.
Beheerders hebben dus iets meer dan een jaar om hun systemen voor te bereiden. Dat geldt vooral voor legacy-omgevingen. Volgens CEO Richard Horne heeft AI geen nieuwe aanvalsmethoden bedacht. Het probleem zit volgens hem in kwetsbaarheden die al jaren worden gedoogd. Die zijn nu op een schaal te vinden en te misbruiken die eerder ondenkbaar was. Horne verwacht daarom in de komende maanden een ongekende stijging van het aantal cyberincidenten.
Einde van goedkope IT
Horne gebruikt stevige woorden. “Al decennialang zijn we er collectief mee weggekomen om technologie op de goedkope manier te gebruiken”, zegt hij. Hij spreekt van “een moment van keuze” voor organisaties.
Concreet vraagt het NCSC drie dingen. Organisaties moeten voldoende investeren in hun technologie. Ze moeten systemen niet onnodig aan het internet koppelen. En Cyber Essentials, het Britse basiscertificaat voor cybersecurity, moet het startpunt zijn en niet het einddoel. Wie die keuzes niet maakt, moet volgens Horne straks aan investeerders, klanten en medewerkers uitleggen waarom “er geen eten in de schappen ligt, de lichten uit zijn en bedrijven failliet zijn gegaan”.
De timing is logisch, want dit jaar brachten onder andere Google, Anthropic en OpenAI AI-modellen uit, die goed genoeg zijn om zelfstandig kwetsbaarheden in software te vinden. Microsofts Patch Tuesday-updates zijn daardoor flink in omvang gegroeid.
Aanvallers worden sneller
Ook andere cijfers wijzen op die versnelling. Uit het Digital Defense Report van Microsoft blijkt dat de mediane tijd tussen het publiek worden van een kwetsbaarheid en actieve exploitatie in 2026 ruim onder de 24 uur is gezakt. Daarnaast meldt Microsoft dat autonome ransomware al echte organisaties heeft getroffen.
Slachtoffers merken het ook. In een recente enquête zei 65 procent van de door ransomware getroffen organisaties dat AI de aanval effectiever maakte. Bij 63 procent werd ook data gestolen.
Britse overheid investeert
Het rapport verschijnt kort nadat de Britse minister van Financiën nieuwe investeringen aankondigde. Er gaat 60 miljoen pond naar de eerste fase van een nationaal Cyber Shield. Daarnaast komt er 70 miljoen pond voor het National Exposure and Real-Time Vulnerability (NERV) Centre beschikbaar, dat kwetsbaarheden in vitale infrastructuur en de economie moet opsporen. In Manchester opent het NCSC bovendien een AI Cyber Security Centre of Excellence om binnen de overheid AI-securitykennis op te bouwen. Daarnaast werkt de regering ook aan de Cyber Security and Resilience Bill en een National Cyber Action Plan.