Medewer­kers gebruiken op grote schaal ongecon­tro­leerde AI-tools, herge­bruiken wacht­woorden en werken via onbevei­ligde inter­net­ver­bin­dingen. Daarmee veroor­zaken zij steeds grotere cyberrisico’s die voor veel organi­sa­ties nauwe­lijks zicht­baar zijn. Dat blijkt uit het nieuwe 2026 Cyber­se­cu­rity Hygiene Report van Watch­Guard Techno­lo­gies.

Maar liefst 64% van de medewer­kers gebruikt zonder toestem­ming AI-tools voor het werk. Deze snelle groei van ‘shadow AI’ zorgt voor een gevaar­lijke blinde vlek. Organi­sa­ties weten vaak niet welke infor­matie medewer­kers invoeren in externe AI-diensten en waar bedrijfs­ge­ge­vens vervol­gens terecht­komen. Minder dan 30% van de medewer­kers denkt boven­dien dat hun organi­satie een nauwkeurig overzicht bijhoudt van de gebruikte software. Bijna 40% zegt dat de werkgever geen volledig zicht heeft op de appli­ca­ties die medewer­kers gebruiken.

Cyberrisico’s stapelen zich op

Het rapport legt daarnaast ook andere cyberrisico’s bloot die samen­hangen met onveilig gedrag:

• 76% herge­bruikt wacht­woorden
  Drie op de vier medewer­kers gebruiken hetzelfde wacht­woord voor meerdere accounts. Een buitge­maakt wacht­woord kan daardoor toegang geven tot verschil­lende systemen, appli­ca­ties en bedrijfs­ge­ge­vens. Daarnaast deelt 30 procent zijn wacht­woorden met anderen.

• 70% werkt via openbare wifi
  Zeven op de tien medewer­kers gebruiken openbare wifi voor zakelijke activi­teiten. Het gebruik van openbare wifi vergroot het risico dat cyber­cri­mi­nelen inter­net­ver­keer onder­scheppen en inlog­ge­ge­vens stelen.

• 50% opent bedrijfs­ge­ge­vens zonder VPN
  De helft van de medewer­kers benadert bedrijfs­ap­pli­ca­ties, systemen en andere zakelijke bronnen zonder VPN-bescher­ming. Hierdoor groeit het risico op onder­schep­ping van gegevens, diefstal van inlog­ge­ge­vens en ongeau­to­ri­seerde toegang.

• 55% gebruikt zakelijke apparaten privé
  Meer dan de helft van de medewer­kers gebruikt zakelijke laptops en telefoons ook voor privé­ac­ti­vi­teiten. Dit vergroot de kans op malware, phishing en het gebruik van apps of websites die buiten de bevei­li­ging van de organi­satie vallen.
  
• Hybride werken vervaagt grenzen
  Door thuis­werken en werken op verschil­lende locaties lopen zakelijk en privé­ge­bruik steeds vaker door elkaar. Dat maakt het voor securi­ty­teams moeilijker om risico’s tijdig te herkennen en te beperken.

Belangrijke rol voor MSP’s

Volgens Watch­Guard bieden de resul­taten een duide­lijke kans voor MSP’s om het mkb beter te beschermen. Alleen techni­sche bevei­li­gings­mid­delen instal­leren is niet meer voldoende. Organi­sa­ties moeten ook zicht krijgen op het gedrag van medewer­kers en duide­lijke afspraken maken over AI, wacht­woorden en werken buiten kantoor.

Watch­Guard adviseert mkb-organi­sa­ties en MSP’s om in ieder geval:

• wacht­woord­ma­na­gers en multi­fac­to­r­au­then­ti­catie verplicht te stellen;
• ongeau­to­ri­seerde AI-tools en andere ‘shadow IT’ actief op te sporen;
• duide­lijke regels te maken voor het gebruik van AI;
• medewer­kers buiten kantoor te beschermen met VPN- en zero-trustoplossingen;
• doorlo­pend securi­ty­trai­ningen te geven;
• mense­lijk risico­ge­drag net zo actief te meten als techni­sche dreigingen.

Menselijk gedrag kernonderdeel van cybersecurity 

“Organi­sa­ties inves­teren in bevei­li­gings­op­los­singen, maar veel bedrijven weten nog steeds niet hoe hun medewer­kers in de praktijk werken”, zegt Marc Laliberte, Director of Security Opera­tions bij Watch­Guard. “Alledaags gedrag, van het gebruik van AI tot het omgaan met wacht­woorden, veroor­zaakt risico’s waarop tradi­ti­o­nele bevei­li­gings­maat­re­gelen niet altijd zijn ingericht.”

“De resul­taten laten zien dat het cyber­ri­sico duide­lijk verschuift”, vervolgt Laliberte. “Organi­sa­ties gebruiken steeds meer nieuwe techno­logie en onder­steunen medewer­kers die op verschil­lende locaties werken. Daardoor wordt het beheersen van mense­lijk gedrag een vast onder­deel van cyber­se­cu­rity. Voor MSP’s ligt hier een kans om klanten niet alleen met techno­logie te helpen, maar ook met zicht op gebruikersrisico’s, duide­lijke regels en voort­du­rende bewustwording.”

Het volle­dige 2026 Cyber­se­cu­rity Hygiene Report is hier te downloaden.