Hoe cyberaanvallen werkelijk gebeuren: De methoden achter schendingen zoals die van H&M

Op 12 oktober 2026 zei H&M Group dat het onderzoek deed naar online beweringen over een cyberbeveiliging incident waarbij "een beperkt bereik van H&M Group-gegevens" betrokken was, volgens een bedrijfsverklaring gemeld door Retail Gazette. De retailer zei dat het geen aanwijzingen had gevonden dat zijn gegevensomgeving in gevaar was gebracht en had het UK Information Commissioner's Office niet op de hoogte gesteld, volgens Beinsure.

De beweringen doken op dagen nadat modewinkel ASOS op 6 oktober een schending bevestigde, waarbij aanvallers de inloggegevens van een werknemer verkrijgden door zich voor te doen als een vertrouwde contactpersoon, en deze inloggegevens vervolgens gebruikten om klantennamen en contactgegevens te bereiken die op platforms van derden waren opgeslagen, volgens het verslag van Beinsure. Retail Gazette merkte op dat rapporten de H&M-beweringen hebben gekoppeld aan dezelfde cyberkriminele groep, ShinyHunters, hoewel geen onafhankelijke bevestiging de twee incidenten aan elkaar bindt.

Wie is ShinyHunters?

ShinyHunters is een financieel gemotiveerde hackergroep die sinds 2020 actief is en gekoppeld is aan schendingen bij meer dan 400 organisaties, volgens cybersecurity-leverancier DoControl. De groep volgt een "betaal of lek" afpersingsmodel: het eist losgeld en dreigt gestolen gegevens op dark-web-forums te publiceren als het doelwit niet betaalt, aldus DoControl. Eerdere doelwitten genoemd door DoControl zijn onder meer Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways en Jaguar Land Rover.

De methoden achter de meeste schendingen

De analyse van DoControl beschrijft vijf technieken die de groep heeft gebruikt: misbruik van gestolen OAuth-tokens om gebruikers na te bootsen en multi-factor authenticatie te omzeilen; misbruik van onjuist geconfigureerde instellingen in cloud-platforms zoals Salesforce Experience Cloud of Google Workspace; compromittering van vertrouwde softwareleveranciers om tegelijkertijd hun downstream klanten te bereiken; rekrutering van werknemers op Telegram-kanalen in ruil voor betaling voor toegang tot interne systemen; en het gebruik van AI-gegenereerde spraakoproepen die IT-personeel imiteren om personeel ertoe over te halen door aanvallers gecontroleerde applicaties goed te keuren.

Deze technieken weerspiegelen bredere industrie data. Het Verizon-rapport over datenschendingsonderzoeken uit 2026, aangehaald door Help Net Security, stelde vast dat de exploitatie van softwareproblemen gestolen inloggegevens heeft ingehaald als de meest voorkomende manier waarop aanvallers voor het eerst een netwerk binnenkomen — de eerste keer in de 19-jarige geschiedenis van het rapport. Hetzelfde rapport stelde vast dat slechts 26% van de kwetsbaarheden op de "bekend misbruikt" lijst van het US Cybersecurity and Infrastructure Security Agency volledig was gepatcht door ondervraagde organisaties, omlaag van 38% een jaar eerder, en dat de mediane tijd voor het patchen van een fout was gestegen naar 43 dagen.

Waar de menselijke factor in past

Niet elke schending vertrouwt op een softwarefout. Help Net Security's samenvatting van het Verizon-rapport stelde vast dat schendingen met een menselijk element — zoals bedrogen worden door een phishing-bericht of telefoontje — veel voorkwamen. Het rapport stelde ook vast dat phishers over het algemeen meer succes hadden met het bereiken van slachtoffers via telefoongesprekken en sms-berichten dan via e-mail, zonder een exacte vergelijkingscijfer op te geven, en merkte op dat op telefoon gebaseerde "vishing" in toenemende mate wordt gebruikt in ransomware- en afpersingsschema's.

De betrokkenheid van derden en supply chain bij schendingen steeg met 60% op jaarbasis, volgens hetzelfde rapport, nu aanwezig in bijna de helft van alle incidenten — een patroon dat aansluit bij hoe de aanvaller van ASOS klantgegevens bereikt via een platform van derden in plaats van ASOS's eigen kernsystemen, volgens het account van Beinsure van het incident.

Wat onbevestigd blijft in de H&M-zaak

Naar aanleiding van de H&M-verklaring gemeld door Retail Gazette had het bedrijf niet bevestigd dat een systeem was geschonden en had de beweringen niet definitief gekoppeld aan ShinyHunters of het ASOS-incident. H&M zei dat het onderzoek aan de gang was en dat het op dit moment geen verdere details kon delen, volgens het rapport van Beinsure van de bedrijfsverklaring.