AI en cybersecurity: wat het mkb moet weten in 2026

TL;DR

• Wat: AI maakt cyberaanvallen op het mkb goedkoper, geloofwaardiger en frequenter — maar biedt ook verdedigingstools.
• Waarom relevant: 35% van de mkb-bedrijven is de afgelopen vijf jaar minstens één keer aangevallen, en 1 op de 3 ziet het voortbestaan bedreigd bij een grote aanval.
• Wat je ermee kunt: Controleer of je basismaatregelen op orde zijn (back-ups, phishingtraining, multifactorauthenticatie) en wees extra alert op nep-AI-tools.

Ik liep tegen een reeks berichten aan over AI en cybersecurity in het mkb, en wat me opvalt is hoe snel het dreigingslandschap aan het verschuiven is. Niet in theorie, maar in concrete cijfers. Ik vind het de moeite waard om dat eens bij elkaar te leggen — want de meeste ondernemers die ik ken hebben cybersecurity niet bovenaan hun lijstje staan.

Aanvallers gebruiken AI sneller dan verdedigers

Dit is misschien wel het belangrijkste inzicht van dit moment: criminelen adopteren AI-tools sneller dan de meeste bedrijven hun verdediging kunnen aanpassen. Dat klinkt abstract, maar de cijfers maken het concreet.

Volgens onderzoek van Kaspersky werden er tussen januari en april 2026 meer dan 33.300 aanvallen op mkb-bedrijven gedetecteerd waarbij malware zich voordeed als populaire AI-diensten. Dat is bijna vijf keer zoveel als in dezelfde periode vorig jaar. De meest gebruikte lokmiddelen? ChatGPT (42%), Claude (24%) en DeepSeek (20%).

Wat hier gebeurt is eigenlijk logisch als je erover nadenkt. Ondernemers en medewerkers zijn nieuwsgierig naar AI-tools — en criminelen spelen daar op in. Ze bouwen nepversies van bekende AI-diensten, en zodra je die downloadt, heb je een trojaans paard binnengehaald dat gebruikersgegevens kan stelen of andere malware kan installeren.

Kun je je voorstellen dat een medewerker op kantoor denkt een handige AI-assistent te installeren, en daarmee onbedoeld de deur openzet?

Phishing wordt persoonlijker en moeilijker te herkennen

Naast nep-AI-tools is er een tweede trend die me bezighoudt: AI-gegenereerde phishing. Waar phishingmails vroeger vaak te herkennen waren aan slecht taalgebruik of vreemde opmaak, kunnen aanvallers nu met AI overtuigende, foutloze berichten genereren — in het Nederlands, op maat gemaakt voor jouw sector.

Uit het HDI Cyberonderzoek 2026 blijkt dat 64% van de ondervraagde bedrijven phishingaanvallen ondergaat. Dat maakt phishing veruit de meest voorkomende aanvalsmethode, gevolgd door malware via e-mail (47%).

Wat ik hier interessant vind, is dat er ook een relatief nieuw fenomeen opduikt: CEO-fraude. Hierbij doet iemand zich voor als de directeur of eigenaar — per e-mail of zelfs via een deepfake-audiobericht — en geeft een medewerker opdracht om geld over te maken. Volgens hetzelfde onderzoek heeft 7% van de bedrijven dit al meegemaakt, en 27% beschouwt het als een relevant risico.

Stel dat je als ondernemer twee weken op vakantie bent en je boekhouder krijgt een spraakbericht dat precies op jou klinkt, met het verzoek om een betaling te doen. Dat is geen sciencefiction meer — dat is 2026.

De schade is reëel, maar beheersbaar — mits je voorbereid bent

Een lichtpuntje in de cijfers: de gemiddelde schade door een succesvolle aanval is volgens het HDI-onderzoek gedaald naar zo'n €25.000. In eerdere jaren lag dat bedrag op minimaal €68.000. Dat lijkt goed nieuws, maar ik denk dat er een nuance bij hoort: bedrijven die basismaatregelen hebben genomen, melden 33% lagere schade dan bedrijven zonder preventie.

Dat suggereert dat de daling niet komt doordat aanvallen minder erg zijn, maar doordat meer bedrijven hun basisbeveiliging op orde hebben. En dat is hoopgevend — het betekent dat relatief eenvoudige maatregelen effect hebben.

De keerzijde: 1 op de 3 bedrijven geeft aan dat een grootschalige cyberaanval het voortbestaan van de onderneming zou bedreigen. Dat is een fors aantal. Internationaal wordt vaak het cijfer aangehaald dat 60% van getroffen kleine bedrijven binnen zes maanden de deuren sluit, al moet ik erbij zeggen dat dit percentage uit Amerikaans onderzoek komt en niet één-op-één naar de Nederlandse situatie te vertalen is.

Wat kun je als ondernemer wél doen?

Ik vind het eerlijk gezegd bemoedigend dat de meest effectieve maatregelen niet de duurste zijn. Uit het HDI-onderzoek blijkt dat 87% van de bedrijven technische basismaatregelen heeft genomen — denk aan firewalls en back-ups. 71% doet aan medewerkerstraining, en 69% heeft organisatorische maatregelen getroffen.

De grootste winst zit hem naar mijn inschatting in drie dingen:

1. Bewustzijn bij medewerkers

De mens blijft de zwakste schakel. Phishing werkt niet omdat de techniek faalt, maar omdat iemand op een link klikt. Training hoeft niet ingewikkeld te zijn: laat medewerkers eens per kwartaal oefenen met het herkennen van verdachte mails.

2. Voorzichtigheid met AI-downloads

Gezien de vervijfvoudiging van malware vermomd als AI-diensten: download AI-tools alleen via officiële websites en appstores. Controleer het webadres. Als een collega een "handige AI-tool" deelt via een onbekende link, wees dan sceptisch.

3. Multifactorauthenticatie (MFA)

MFA is als een tweede slot op je voordeur. Zelfs als iemand je wachtwoord steelt, komt die er niet in zonder de tweede verificatie. Let wel op: er bestaat inmiddels zoiets als "MFA-vermoeidheid" — aanvallers bombarderen je met inlogverzoeken totdat je uit irritatie op 'goedkeuren' klikt. De regel is simpel: keurde je zelf geen inlogpoging goed? Dan niet akkoord gaan, en direct je wachtwoord wijzigen.

AI als verdediger — maar met kanttekening

AI wordt niet alleen door aanvallers gebruikt. Steeds meer beveiligingsdiensten zetten AI in om verdachte patronen te herkennen, sneller te reageren op incidenten en dreigingen te voorspellen. Voor mkb-bedrijven die hun IT uitbesteden aan een managed serviceprovider, is dat relevant: vraag je IT-partner wat zij met AI doen op het gebied van beveiliging.

Toch is het beeld genuanceerd. Uit onderzoek blijkt dat 26% van de bedrijven vindt dat AI hun cyberweerbaarheid versterkt, terwijl 11% juist zegt dat AI die verzwakt. Dat verschil komt vermoedelijk doordat AI niet alleen verdedigingstools oplevert, maar ook het aanvalsoppervlak vergroot — méér AI-tools in gebruik betekent méér potentiële ingangen.

Wat mij betreft is de les helder: AI is geen tovermiddel voor beveiliging, en het is ook geen onhoudbare dreiging. Het is een versterker — van zowel aanval als verdediging. De vraag is aan welke kant je als ondernemer het meest investeert.

Voor mij is dit vooral een signaal dat cybersecurity geen IT-onderwerp meer is, maar een bedrijfsrisico dat op het bureau van de eigenaar hoort te liggen. De dreigingen worden slimmer, maar de basisverdediging blijft verrassend toegankelijk.