“Ik ben te klein voor een cybercrimineel.” Het is een van de meest hardnekkige misvattingen in het bedrijfsleven. Of het nu gaat om de bakker op de hoek of een MKB-ondernemer. De gedachte niet interessant genoeg te zijn is levensgevaarlijk. Uit nieuw onderzoek van ABN AMRO en Ipsos I&O blijkt dat ruim een kwart van de Nederlanders zichzelf geen aantrekkelijk doelwit vindt. Criminelen misbruiken dit gebrek aan bewustzijn juist door kleine puzzelstukjes data te verzamelen en zo geraffineerde zakelijke aanvallen op te zetten.
Het onderzoek toont aan dat dit sentiment breed gedragen wordt (26 tot 27 procent). Toch erkent 85 procent van de respondenten tegelijkertijd dat een fraudepoging geloofwaardiger wordt naarmate een oplichter meer persoonlijke gegevens in handen heeft. Die twee bevindingen wringen met elkaar, want fraudeurs gaan niet willekeurig te werk.
Ze verzamelen gegevens uit uiteenlopende bronnen en bouwen daarmee stukje bij beetje een profiel op van een doelwit. Een e-mailadres hier, een geaccepteerde cookie daar of informatie die bij een datalek op straat is komen te liggen. Door de inzet van AI verloopt dat proces bovendien steeds sneller en geraffineerder.
Van de bakker op de hoek tot de multinational
Hoewel grote namen en multinationals vaak de krantenkoppen halen, is in de praktijk niemand meer veilig, vertelde Inge van der Beijl ons al eerder. Van der Beijl is psycholoog en crisisexpert bij beveiligingsbedrijf Northwave. “De cybercrimineel is opportunistisch geworden. Waar zij zich vroeger vooral richtten op de grote vissen, zakken ze nu steeds vaker af naar de laag daaronder”, zei ze daarover.
Of het nu gaat om een lokaal familiebedrijf of een architectenbureau met een handvol medewerkers: voor elk bedrijf geldt dat ze een potentieel doelwit vormen. Zeker wanneer een onderneming onderdeel is van een grotere toeleveringsketen. Raak je een enkele IT-leverancier of ketenpartner, dan raak je er immers direct honderd. Dat was onder andere het geval bij de grote cyberaanval op Jaguar Land Rover in 2025, waar naast dat bedrijf ook honderden toeleveranciers werden geraakt.
Cijfers uit de praktijk
Dat deze digitale dreiging niet theoretisch is, laten recente macrocijfers zien. Volgens de CBS Veiligheidsmonitor 2025 werd 17 procent van de Nederlanders van 15 jaar en ouder al eens slachtoffer van een online delict, goed voor zo’n 2,5 miljoen mensen. Tien procent kreeg direct te maken met online oplichting en fraude. De Fraudehelpdesk registreerde in 2025 een totale schade van ruim 68,5 miljoen euro, wat neerkomt op een stijging van 30 procent ten opzichte van het jaar ervoor.
Jongvolwassenen en het risico op de werkvloer
Voor IT-managers en security-officers zit de grootste zorg in het menselijke aspect en dan met name bij de instromende generatie. Het onderzoek van ABN AMRO toont een opvallend verschil tussen leeftijdsgroepen. Jongvolwassenen tussen de 18 en 35 jaar maken zich minder zorgen, maar laten digitaal juist de meeste gegevens achter. In deze groep denkt ruim een derde (35 procent) geen doelwit te zijn, tegenover 24 procent bij de 35-plussers.
Ook gaan zij slordiger om met documenten: 47 procent bewaart een kopie van het identiteitsbewijs online (bijvoorbeeld in onbeveiligde cloudopslag of mailboxen), terwijl dat onder 35-plussers 35 procent is. Wanneer werknemers dit lakse privégedrag meenemen naar hun zakelijke accounts, ontstaan er grote risico’s op het gebied van Shadow IT en insider threats. Een buitgemaakte identiteitskopie of een gelekt zakelijk wachtwoord is voor een crimineel het perfecte puzzelstukje om via social engineering een corporate netwerk binnen te dringen. Dit sluit aan bij eerdere signalen dat jongeren oplichting steeds vaker als normaal zien.
Wat organisaties moeten doen
Om te voorkomen dat de laksheid van individuen leidt tot zakelijke continuïteitsproblemen, is een actieve houding van het management vereist. Uit het onderzoek blijkt bijvoorbeeld dat bijna een derde (33 procent) van de respondenten nog steeds hetzelfde wachtwoord voor meerdere accounts hergebruikt. In een zakelijke omgeving vraagt dit om het strikt afdwingen van een centraal wachtwoordbeheer (Identity & Access Management) en het gebruik van enterprise password managers.
Daarnaast is de implementatie van robuuste multifactorauthenticatie op alle bedrijfsapplicaties geen luxe IT-extraatje meer, maar een absolute noodzaak om te overleven. Bedrijven moeten bovendien investeren in structurele Security Awareness-trainingen. Door medewerkers continu te trainen op de gevaren van datastapeling en social engineering, sluiten organisaties de menselijke achterdeur voor cybercriminelen.