Statistieken over insiderdreigingen

Als u niet weet waartegen u zich moet verdedigen, kunt u zich er niet tegen beschermen. Soms zijn het juist de mensen die u vertrouwt en die het dichtst bij u staan, die u op de ergst denkbare manier verraden. Kwaadwillende insiders bestaan al tientallen jaren en verdwijnen niet uit de wereld van cloudbeveiliging en cybersecurity.

Terwijl het AI-tijdperk zich verder ontwikkelt en bedrijven adaptieve, betere beveiligingsproducten invoeren, worden insiderdreigingen steeds geraffineerder. Ze vinden nieuwe manieren om organisaties binnen te dringen. In dit artikel zetten we insiderdreigingen per sector uiteen. Hieronder vindt u de nieuwste statistieken over insiderdreigingen voor 2026 en meer.

Wereldwijde statistieken over insiderdreigingen

Dit zijn wereldwijde statistieken over insiderdreigingen om in 2026 rekening mee te houden:

• De jaarlijkse kosten van insiderincidenten zijn in 2026 gestegen tot USD 19.5 miljoen per organisatie. Dat is een stijging van 20% in 2 jaar. Aanvallen via schaduw-AI zijn een van de belangrijkste oorzaken.
• Kwaadwillende insiders kunnen u gemiddeld USD 4.9 miljoen per datalek kosten. Menselijke nalatigheid is een van de belangrijkste oorzaken van de toenemende frequentie van deze aanvallen en kost bedrijven jaarlijks gemiddeld USD 10.3 miljoen.
• Organisaties kunnen te maken krijgen met ongeveer 2 insiderincidenten per maand. De tijd die nodig is om een incident in te dammen, is gedaald tot 67 dagen. Dat is de snelste verbetering ooit gemeten, dankzij hogere investeringen in gedragsanalyse.
• Insiderincidenten die binnen 30 dagen worden ingedamd, kosten jaarlijks gemiddeld USD 14.2 miljoen; bij incidenten die binnen 90 dagen worden ingedamd, is dat USD 21.9 miljoen
• Insiderdreigingen worden moeilijker te volgen: wereldwijd zijn er nu 82 machine- en AI-identiteiten per menselijke medewerker.

Statistieken per type insiderdreiging

• Ongeveer 55% tot 56% van de incidenten is terug te voeren op nalatige insiders. Dit is het meest voorkomende type insiderdreiging. Het gaat om medewerkers die onbedoeld schade aanrichten door menselijke fouten. Ze trappen in phishinglokmiddelen, verliezen bedrijfsapparaten of configureren databases per ongeluk verkeerd.
• Contractanten en zakenpartners zijn wereldwijd verantwoordelijk voor 15% tot 25% van de insiderdreigingen. De gemiddelde jaarlijkse kosten van incidenten per organisatie zijn gestegen tot USD 19.5 miljoen.
• Het indammen van insiderincidenten kost gemiddeld tot USD 247,587 per incident per jaar.
• Als insideraanvallen te lang onopgemerkt blijven of niet worden aangepakt, lopen de kosten door escalatie op tot gemiddeld USD 39,728 per incident.
• Bedrijven met een volwassen programma tegen insiderdreigingen voorkomen gemiddeld tot 7 incidenten per jaar. Daarmee vermijden ze jaarlijks tot USD 8.2 miljoen aan verliezen door insiderincidenten.
• 70% van de clouddatalekken ontstaat door gecompromitteerde identiteiten, niet door softwarefouten. AI creëert nieuwe, onbeheerde routes waarlangs insiders gegevens kunnen ontvreemden of misbruiken. Inmiddels geeft 53% van de bedrijven AI-tools volledige toegang tot cloudplatforms en productiviteits- en samenwerkingspakketten, wat hun risico vergroot.
• 73% van de beveiligingsverantwoordelijken maakt zich zorgen over ongeautoriseerde toegang via schaduw-AI, die kan leiden tot datalekken en verliezen door insiders. Naar verluidt gebruikt 23% van de medewerkers schaduw-AI-tools, ondanks een bedrijfsverbod op deze tools.

Insiderincidenten per sector

• In de zorg lopen de kosten van een datalek op tot USD 12.6 miljoen per incident. De financiële sector betaalt door insiderdreigingen de hoogste gemiddelde kosten: USD 20.68 miljoen per jaar.
• Technologiebedrijven en SaaS-aanbieders krijgen regelmatig te maken met insiderincidenten rond diefstal van broncode, API-sleutels en toegangstokens. Een grootschalig onderzoek naar statistieken over insiderdreigingen uit 2026 laat zien dat technologieorganisaties tot de hoogst scorende behoren bij misbruik van bevoegdheden en diefstal van inloggegevens. Dit laat zien hoe de wildgroei aan identiteiten dagelijkse toegang verandert in insiderrisico's.
• In de zorg zijn interne betrokkenen verantwoordelijk voor ongeveer 30% van de datalekken. Sommige rapporten schatten het aandeel intern veroorzaakte incidenten dichter bij 70% wanneer fouten en misbruik worden meegeteld. De grootschalige toegang tot elektronische patiëntendossiers maakt het gemakkelijk voor kleine beleidsovertredingen om uit te groeien tot ernstige insideraanvallen.
• In de financiële sector zijn insiders betrokken bij ongeveer 22 procent van de datalekken. Toch behoren de bijbehorende kosten tot de hoogste van alle sectoren. Fraude, accountovernames en marktgevoelige gegevens geven insiders directe manieren om toegang in geld om te zetten. Daardoor laten de statistieken over insiderdreigingen voor 2026 meer financieel gemotiveerd gedrag zien.
• De industrie en de detailhandel melden lagere percentages datalekken waarbij insiders betrokken zijn: respectievelijk ongeveer 14 procent en 3 procent. Ondanks de lagere aantallen draait het verlies vaak om bedrijfsgeheimen, formules en ontwerpen. Eén verkeerd afgehandeld insiderincident kan daardoor de productontwikkeling blijvend verzwakken.
• Het openbaar bestuur en het onderwijs krijgen minder vaak te maken met opzettelijke insideraanvallen, maar vaker met onbedoelde fouten. Verkeerd geadresseerde bestanden, verkeerd geconfigureerde instellingen voor delen en onzorgvuldig behandelde gegevens komen steeds terug in overzichten van de vooruitzichten voor insiderdreigingen in 2026 binnen de overheid en het onderwijs.

Insiderdreigingen naar organisatiegrootte

• Grote bedrijven met meer dan 75,000 medewerkers besteden jaarlijks gemiddeld USD $24.6 miljoen aan het aanpakken van insiderincidenten. Dat is bijna drie keer zoveel als bedrijven met minder dan 500 medewerkers, die jaarlijks gemiddeld USD $8 miljoen uitgeven aan hun insiderrisico's.
• Deze grotere bedrijven beheren doorgaans een veel grotere wildgroei aan identiteiten, met honderden SaaS-applicaties, duizenden accounts met verhoogde bevoegdheden en miljoenen machine-identiteiten. Bij deze grote werkgevers veranderen insiderdreigingen in cybersecurity van afzonderlijke crises in doorlopende operationele risico's.
• Middelgrote organisaties krijgen in totaal met minder insiderincidenten te maken, maar voelen de gevolgen van elk incident vaak sterker. Veel organisaties hebben geen speciale teams voor de detectie van insiderdreigingen of formele programma's om deze dreigingen te beperken. Daardoor slepen onderzoeken zich voort en haalt het herstel medewerkers weg bij hun kerntaken.
• Kleinere organisaties melden minder insiderdreigingen, maar zijn relatief vaak betrokken bij diefstal van inloggegevens en zakelijke e-mailfraude. Door een beperkte functiescheiding heeft één gecompromitteerde of ontevreden medewerker vaak tegelijk controle over betalingen, het onboarden van leveranciers en klantgegevens.

Statistieken over de financiële impact van insiderdreigingen

• Het gemiddelde jaarlijkse verlies per organisatie door insiders ligt tussen $17.4 miljoen en $19.5 miljoen. De afgelopen jaren zijn zowel het detectiepercentage van insiderdreigingen als de geschatte kosten gestegen.
• De geschatte kosten van een incident door een dreiging van binnenuit verschillen per organisatie; voor beveiligingsmanagers liggen de meeste schattingen echter tussen $12 miljoen en $18 miljoen per incident (dat wil zeggen, de geschatte kosten van het onderzoek, de uitvaltijd, juridische kosten en herstelwerkzaamheden). Aanvullende onderzoeken naar dreigingen van binnenuit in het VK tonen aan dat door insiders veroorzaakte incidenten gemiddeld £9.6 miljoen per incident hebben gekost. Daarnaast melden deze onderzoeken dat organisaties elke maand ongeveer 6 incidenten met insiders meemaken.
• Per incident liggen de kosten van datalekken door kwaadwillende insiders tussen hoge bedragen van zes cijfers en lage bedragen van zeven cijfers. Sommige rapporten noemen ongeveer USD 700,000 per incident met een kwaadwillende insider. De kosten van diefstal van inloggegevens liggen daar net onder.
• Het indammen blijft een van de duurste fasen, met ongeveer USD 179,000 tot USD 211,000 per insiderincident. De terugkerende uitgaven aan monitoring en analyse liggen veel lager. Zelfs bescheiden verbeteringen in vroege detectie en het voorspellen van insiderdreigingen kunnen daardoor miljoenen aan responskosten besparen.

Statistieken over de detectie en indamming van insiderdreigingen

• Organisaties melden voor het detecteren en indammen van insiderincidenten een gemiddelde tijd van 70 tot 80 dagen. Dat is korter dan in voorgaande jaren, maar nog lang niet realtime. Bij sommige incidenten op afstand duurt het indammen gemiddeld 81 dagen nadat beveiligingsteams ongewoon gedrag opmerken.
• We zien een gemiddelde doorlooptijd van ongeveer 241 dagen, van compromittering tot volledige indamming. Organisaties die AI en automatisering gebruiken, verkorten die periode met ongeveer 80 dagen. Dezelfde tools vormen nu de basis van veel platforms voor de detectie van insiderdreigingen, die identiteit, toegang en gedrag met elkaar in verband brengen.
• 93% van de beveiligingsverantwoordelijken vindt insiderincidenten moeilijker te detecteren dan externe aanvallen. 83% meldde het afgelopen jaar minstens één insideraanval. Een overdaad aan meldingen, onoverzichtelijke logs en versnipperde tools vertragen het onderzoek naar subtiele insiderrisico's.
• Toch zegt 65% van de organisaties met een specifiek programma voor insiderrisico's dat alleen dit programma een mogelijk datalek vroegtijdig signaleerde. Deze teams gebruiken gedragsanalyse en identiteitsinformatie om niet alleen achteraf op te ruimen, maar insiderdreigingen te voorspellen voordat gegevens de organisatie verlaten.

Statistieken over thuiswerken en insiderdreigingen

• Insiderdreigingen namen met ongeveer 58% toe na de grootschalige invoering van thuiswerken. 83% van de organisaties meldde in één jaar minstens één insideraanval. Ongeveer 63% zegt dat thuiswerken direct bijdroeg aan een datalek waarbij insiders of gecompromitteerde accounts betrokken waren.
• Thuiswerkers lopen ongeveer drie keer zoveel kans om onbedoeld gegevens bloot te stellen als kantoormedewerkers. Dit draagt bij aan gemiddeld USD 17.4 miljoen aan jaarlijkse kosten door insiderrisico's per organisatie. Thuisnetwerken, gedeelde apparaten en informele werkpatronen creëren verborgen toegangsroutes die traditionele controles missen.
• Beleid voor het gebruik van eigen apparaten is vrijwel universeel: meer dan 95% van de organisaties staat persoonlijke apparaten toe voor werk, terwijl 48% datalekken meldt die met deze apparaten verband houden. Tegelijkertijd erkent 72% van de organisaties dat ze geen volledig zicht hebben op hoe medewerkers gevoelige gegevens verwerken op endpoints en in SaaS.
• Statistieken van de FBI over insiderdreigingen en bredere cybercriminaliteitsgegevens wijzen beide op thuiswerkers en hybride medewerkers als een blijvende aanvalsoppervlakte voor accountovernames, het voorbereiden van ransomwareaanvallen en het klaarzetten van gegevens. Deze patronen staan nu centraal in veel besprekingen van de vooruitzichten voor insiderdreigingen in 2026 rond risico's van werken op afstand.

Statistieken over misbruik van bevoorrechte toegang en inloggegevens

• Bij ongeveer 22% van de recente onderzoeken naar datalekken vormden misbruik van inloggegevens en bevoorrechte toegang de initiële toegangsroute. Dat aandeel is nu vergelijkbaar met binnendringen via kwetsbaarheden. Het laat zien hoe insiderdreigingen in cybersecurity vaak beginnen met legitieme accounts die op riskante manieren worden gebruikt.
• Analisten ontdekten dat datalekken door kwaadwillende insiders met verhoogde bevoegdheden gemiddeld ongeveer USD 4.9 miljoen per incident kosten. Daarmee behoren ze tot de duurste onderzochte scenario's. Deze gevallen combineren vaak langdurige onopgemerkte aanwezigheid, heimelijke gegevensdiefstal en uitgebreide toegang tot kritieke systemen.
• Derden met buitensporige bevoegdheden zijn volgens sommige onderzoeken verantwoordelijk voor ongeveer 34% van de incidenten. Daarmee worden leveranciers en dienstverleners feitelijk insiders. Gedeelde beheerdersaccounts en ondoorzichtige routes voor toegang op afstand maken het moeilijk te achterhalen wie er achter een riskante handeling zat.
• Afzonderlijk onderzoek naar voorbeelden van insiderdreigingen laat zien dat incidenten rond de diefstal van inloggegevens alleen al gemiddeld tussen USD 679,000 en USD 779,000 per geval kosten. Aanvallers kopen inloggegevens of verkrijgen ze via phishing. Vervolgens gebruiken ze ongemerkt bestaande tools voor toegang op afstand en cloudconsoles, waardoor hun activiteiten op normaal beheerwerk lijken.

Statistieken over data-exfiltratie door interne dreigingen

• Bij ongeveer 60% van de datalekken speelt de mens een directe rol, bijvoorbeeld door kwaadwillende medewerkers, beleidsovertredingen of gebruikers die in phishing trappen en vervolgens gegevens op onveilige manieren verplaatsen. Veel interne incidenten beginnen met misbruik van toegang en eindigen in volledige data-exfiltratie.
• Volgens sommige onderzoeken naar interne risico's zijn niet-kwaadwillende medewerkers verantwoordelijk voor ongeveer 75% van de geregistreerde gebeurtenissen. Het gaat om nalatigheid of om gebruikers die door externe aanvallers zijn misleid. Ook zonder kwade opzet eindigen deze incidenten vaak met ongeoorloofde downloads, uploads naar de cloud of het doorsturen van gevoelige bestanden per e-mail.
• Leveranciers van UEBA en DLP melden een gestage toename van waarschuwingen over grote uitgaande overdrachten, niet-goedgekeurde cloudopslag en grootschalige bestandsversleuteling. 72% van de organisaties mist gedetailleerd inzicht in hoe gegevens zich verplaatsen tussen endpoints, samenwerkingsapps en externe domeinen.
• Sommige statistieken over interne dreigingen in 2026 wijzen compromittering van derden en de toeleveringsketen aan als de op één na meest voorkomende en op één na duurste oorzaak van datalekken, met gemiddelde kosten van ongeveer USD 4,9 miljoen. Zodra een partneraccount zich binnen de vertrouwensgrens bevindt, heeft het vaak dezelfde toegang tot gegevens als een interne gebruiker.

Statistieken over de preventie en monitoring van interne dreigingen

• Organisaties noemen interne dreigingen nu als een belangrijke reden om te investeren in identiteitsgerichte beveiliging, waaronder just-in-time-toegang en doorlopende authenticatie. Volgens prognoses behoren platforms voor de detectie van interne dreigingen en interne risico's tot de snelst groeiende beveiligingscategorieën van dit decennium.
• Ongeveer 75% van de interne incidenten is afkomstig van niet-kwaadwillende medewerkers. Toch zegt 65 procent van de organisaties met een programma voor interne risico's dat dit programma hen hielp risicovol gedrag vóór een datalek te herkennen. Deze verschuiving laat zien dat de nadruk steeds meer ligt op het beperken van interne dreigingen, in plaats van op bestraffing achteraf.
• Uit onderzoeken naar werken op afstand blijkt dat 70-75% van de beveiligingsprofessionals hybride personeelsbestanden nu als het grootste opkomende interne risico beschouwt, vóór veel externe dreigingen. Die opvatting stimuleert een bredere inzet van UEBA, DLP en monitoring van gebruikersactiviteiten die specifiek op interne risico's zijn afgestemd.
• 71% van de organisaties meldt nog steeds minstens matig kwetsbaar te zijn voor interne aanvallen, en meer dan de helft zegt in één jaar zes of meer interne incidenten te hebben meegemaakt.

Belangrijkste inzichten uit statistieken over interne dreigingen

Dit zijn de belangrijkste inzichten uit de recentste statistieken over interne dreigingen voor 2026:

• Incidenten komen vaker voor, kosten meer en treffen uiteenlopende sectoren. De verliezen bedragen op jaarbasis meer dan USD 17 miljoen per organisatie. De financiële sector, de gezondheidszorg en grote ondernemingen zijn het sterkst blootgesteld aan wereldwijde interne dreigingen.
• De meeste interne risico's zijn geen spectaculaire aanvallen zoals in films, maar een aanhoudende stroom van nalatigheid, te ruime toegangsrechten en misbruik door derden. Tegelijkertijd liggen misbruik van inloggegevens en insiders met uitgebreide rechten stilletjes ten grondslag aan enkele van de duurste scenario's.
• Werken op afstand en hybride werken hebben het dreigingsmodel veranderd: insiders zijn betrokken bij meer incidenten, de indamming duurt langer en de herstelkosten zijn hoger. Schaduw-IT, BYOD en onbeheerde AI-tools vergroten de mogelijkheden om gevoelige gegevens te verplaatsen én de groep die dat kan doen.

Opmerking: De statistieken over interne dreigingen in deze blog combineren wereldwijd gemelde datalekken, gegevens van opsporingsinstanties, onafhankelijk onderzoek naar interne risico's en grootschalige bedrijfsenquêtes die tot begin 2026 zijn gepubliceerd. Samen geven ze beveiligingsleiders een actueel beeld van interne dreigingen om beveiligingsmaatregelen en plannen te prioriteren.

De Behavioral AI van SentinelOne detecteert afwijkende activiteiten die afwijken van het normale gedrag van een gebruiker, zelfs wanneer geldige inloggegevens worden gebruikt. De technologie monitort actieve processen en herkent razendsnelle kwaadaardige activiteiten, zoals ongeoorloofde toegang, aanvallen waarbij rechten worden uitgebreid en ongebruikelijke bestandswijzigingen. De Storyline™-technologie van SentinelOne correleert miljoenen gebeurtenissen en brengt ze visueel in kaart, zodat beveiligingsteams de oorsprong van dreigingen in netwerken kunnen achterhalen.

De beste SentinelOne-producten voor het detecteren van interne dreigingen zijn Singularity™ Endpoint, Singularity™ Identity en Singularity™ Network Discovery. SentinelOne Wayfinder MDR is ook aan te raden als u deskundige analisten wilt inschakelen om 24/7 op subtiele en complexere interne dreigingen te jagen.

Boek een livedemo voor meer informatie.