Wat is malware? Soorten, signalen en bescherming

Malware is de verzamelnaam voor software die zonder uw toestemming iets doet wat u niet wilt. Denk aan gegevens stelen, bestanden versleutelen, systemen verstoren of meekijken met wat u doet. Het woord komt van malicious software: kwaadaardige software. Een computervirus is één soort malware, maar lang niet de enige.

Voor organisaties is malware vooral een praktisch onderwerp. Aanvallers kiezen meestal geen specifiek bedrijf uit, maar zoeken op grote schaal naar zwakke plekken, schrijft het NCSC. Dat is goed nieuws, want het betekent dat de basismaatregelen het meeste opleveren.

Hieronder leest u hoe een besmetting verloopt, welke soorten er zijn en hoe ze binnenkomen. Daarna volgen de signalen, de bescherming in lagen en wat u doet bij een vermoedelijke besmetting. Meer vormen van digitale criminaliteit vindt u in onze gids over cybercrime.

Hoe een besmetting met malware verloopt

Een aanval verloopt meestal in een paar fasen. Eerst komt de malware binnen, bijvoorbeeld via een phishingmail, een zwak wachtwoord of software met een bekend lek. Daarna probeert de aanvaller meer rechten te krijgen, zodat hij verder kan dan dat ene apparaat.

Vervolgens verspreidt de besmetting zich naar andere systemen, of verzamelt de aanvaller in stilte informatie. Sommige varianten worden bewust niet meteen actief, zodat ze minder snel opvallen. Tussen het binnenkomen en het moment dat u iets merkt, kan dus tijd zitten.

Dat verklaart ook waarom zulke aanvallen zo vaak slagen. Meestal gaat het om een technische zwakte in combinatie met een gewoon werkmoment: een medewerker onder tijdsdruk die een bijlage opent die er betrouwbaar uitziet. Goede bescherming richt zich daarom op allebei.

De soorten malware op een rij

De namen lopen in de praktijk door elkaar, en veel malware combineert meerdere functies. Toch helpt het om de hoofdsoorten te kennen, omdat ze elk een andere schade veroorzaken.

Infostealers verdienen extra aandacht. Ze stelen wachtwoorden en soms ook sessiecookies: kleine bestanden die onthouden dat u al bent ingelogd. Met zo’n cookie kan een aanvaller soms binnenkomen zonder wachtwoord of tweede stap, zolang de sessie geldig is.

Volgens de politie horen infostealers en botnets tot de meest gebruikte software om gevoelige informatie te stelen. Bij Operatie Endgame haalden politiediensten in november 2025 wereldwijd 1.025 servers neer, onder meer van de infostealer Rhadamanthys. Of inloggegevens van uw organisatie in zulke datasets staan, leest u in gegevens gelekt checken.

Hoe malware binnenkomt

Malware heeft een ingang nodig. De meeste ingangen zijn bekend, en daarmee ook goed af te sluiten.

• Bijlagen en links. Een factuur of gedeeld document dat een besmet bestand of een nagemaakte inlogpagina blijkt te zijn.
• Kwetsbare software. Een VPN, firewall of webserver die van buiten bereikbaar is, met een bekend lek dat nog niet is gedicht.
• Gestolen inloggegevens. Een wachtwoord uit een datalek of van een infostealer, waarmee een aanvaller gewoon inlogt.
• Nepdownloads. Software van een onofficiële site, of een advertentie die naar een nagemaakte downloadpagina leidt.
• Leveranciers en beheertools. Een leverancier of beheertool met toegang tot uw omgeving, die zelf is getroffen.
• Usb-sticks. Een kleinere route, maar nog relevant bij gedeelde apparatuur.

Uit deze lijst volgt al een groot deel van de bescherming. Een gedicht lek kan niet meer worden misbruikt, en een gestolen wachtwoord zonder tweede stap is weinig waard.

Signalen van een besmetting met malware

Een besmetting is niet altijd zichtbaar, maar medewerkers merken vaak als eerste iets. Het NCSC noemt een paar signalen. Een computer wordt plotseling traag, bestanden verdwijnen of veranderen, of inloggen lukt niet meer. Ook onbekende programma’s of meldingen zijn een signaal, net als collega’s die vreemde mails uit uw naam krijgen.

Voor de IT-afdeling zijn er andere signalen. Denk aan een melding van de endpointbeveiliging, ongewoon uitgaand verkeer, een beheerdersaccount dat niemand heeft aangemaakt of een onbekende doorstuurregel in een mailbox. Een besmet apparaat in een botnet verstuurt soms spam, dus controleer ook de uitgaande mail.

Het belangrijkste signaal blijft een melding van een medewerker. Maak melden daarom makkelijk en zonder verwijt. Wie bang is voor een standje na een verkeerde klik, wacht te lang. En juist die tijd heeft een besmetting nodig om zich te verspreiden.

Bescherming tegen malware in lagen

Geen enkele maatregel houdt alle malware tegen. Daarom werkt bescherming in lagen: lukt het op de ene laag niet, dan vangt de volgende het op. De onderste laag is het fundament en draagt de rest.

• Basis. Installeer updates snel, te beginnen bij systemen die van buiten bereikbaar zijn. Laat een mailfilter bijlagen en links controleren, en train medewerkers in het herkennen van verdachte berichten.
• Toegang. Zet meerfactorauthenticatie aan en geef mensen alleen de rechten die ze nodig hebben. Werk niet dagelijks met een beheerdersaccount, want malware krijgt de rechten van wie hem start.
• Detectie. Moderne endpoint security kijkt verder dan bekende virussen. Endpoint detection and response (EDR) herkent afwijkend gedrag op laptops en servers en kan een apparaat direct van het netwerk afsluiten.
• Herstel. Bewaar back-ups offline of onveranderbaar, zodat ransomware ze niet kan versleutelen of wissen. Test geregeld of u ze echt kunt terugzetten.

Het netwerk opdelen in zones helpt ook. Dat heet segmentatie, en het voorkomt dat een besmetting op een werkplek vanzelf bij de servers komt. Bescherming tegen malware staat als aparte maatregel in Annex A van ISO 27001. Ook de NIS2 zorgplicht uit de Cyberbeveiligingswet (CBW) noemt basishygiëne als vast onderwerp.

Malware verwijderen: wat u doet bij een besmetting

Vermoedt u malware, dan gaat snelheid voor zekerheid. Meld het direct, ook als u twijfelt. Een vals alarm kost een kwartier, een gemiste besmetting kost veel meer.

Haal een besmet apparaat van het netwerk: kabel eruit, wifi uit. Zet het liefst niet uit, want sommige sporen staan alleen in het werkgeheugen. Wijzig daarna de wachtwoorden die op dat apparaat zijn gebruikt, vanaf een ander, schoon apparaat.

Dan het verwijderen zelf. Een virusscanner kan bekende malware opruimen, maar in een organisatie is opnieuw installeren vanuit een schone bron meestal de veiligere keuze. Dan weet u zeker dat er niets is achtergebleven, zoals een achterdeur die de scanner niet ziet. Zet daarna gegevens terug uit een back-up van vóór de besmetting.

Zoek ook uit hoe de aanvaller binnenkwam en of er gegevens zijn meegenomen. Is dat laatste zo, dan kan er sprake zijn van een datalek met een meldplicht. Wat u dan regelt, leest u in gehackt, wat nu.

Waar het in de praktijk misgaat

De meeste organisaties hebben de losse maatregelen wel. Het gaat meestal mis in de samenhang.

• Meldingen die niemand leest. Endpointbeveiliging die alarm slaat in een console waar niemand naar kijkt, beschermt maar half. Spreek af wie de meldingen volgt, ook buiten kantoortijd, of laat dat doen via security monitoring.
• Back-ups op hetzelfde netwerk. Een back-up die vanaf elke werkplek bereikbaar is, kan bij een besmetting worden meegenomen. Houd minstens één kopie buiten bereik.
• Iedereen beheerder. Lokale beheerdersrechten voor het gemak maken het een aanvaller makkelijk om zich vast te zetten.
• Updates met uitzonderingen. De laptops worden bijgewerkt, maar de firewall, de printer of die ene oude server niet. Juist zulke vergeten systemen vinden aanvallers bij hun scans.

Malware is ook de motor achter andere aanvallen. Netwerken van besmette apparaten worden bijvoorbeeld ingezet voor een DDoS-aanval, waarbij een website wordt overspoeld met verkeer.

Veelgestelde vragen over malware

Wat is het verschil tussen malware en een virus?

Malware is de verzamelnaam voor alle kwaadaardige software. Een virus is één soort: software die zich aan bestanden hecht en zich verspreidt als die worden geopend. Elk virus is dus malware, maar niet andersom.

Is een virusscanner genoeg tegen malware?

Nee. Een klassieke virusscanner herkent vooral bekende varianten. Nieuwe varianten en aanvallers die met gestolen wachtwoorden of gewone beheertools werken, vallen daarbuiten. Daarom horen updates, MFA, detectie op gedrag en goede back-ups erbij.

Kan malware ook op een Mac of telefoon komen?

Ja. Geen besturingssysteem is immuun, al verschillen de soorten en routes. Op telefoons komt het bijvoorbeeld mee met apps van buiten de officiële appwinkels. Neem telefoons daarom mee in uw beheer en updatebeleid.

Hoe lang kan malware onopgemerkt blijven?

Dat verschilt sterk. Sommige varianten worden pas na een tijd actief, en spyware of een rootkit doet bewust weinig zichtbaars. Detectie op gedrag en goede logging verkorten die periode.

Moeten wij een besmetting melden?

Dat hangt af van de gevolgen. Zijn er persoonsgegevens buitgemaakt of ingezien, dan kan de meldplicht datalekken gelden. Valt u onder de Cyberbeveiligingswet (CBW) en is de besmetting een significant incident, dan geldt ook de NIS2 meldplicht. Aangifte doen bij de politie kan altijd.