Een Antwerpse school werd recent getroffen door een cyberaanval. Opvallend: de aanvallers eisten niet alleen losgeld van de school, maar benaderden ook de ouders van leerlingen rechtstreeks met dreigbrieven. Het incident bleef dus niet beperkt tot de interne IT-omgeving van de school en raakte meteen een bredere groep betrokkenen. Daarmee krijgt dit incident een bredere sociale impact dan bij veel klassieke IT-incidenten.

Eind januari 2026 werd de Antwerpse school OLV Pulhof het slachtoffer van een cyberaanval. Aanvallers eisten losgeld en dreigden met het lekken van gegevens. Maar niet alleen de school werd gecontacteerd: ook ouders van leerlingen ontvingen rechtstreeks dreigbrieven. De aanval bleef dus niet beperkt tot systemen, servers of interne data. Door ouders rechtstreeks te benaderen, verplaatsten de aanvallers het drukpunt bewust naar buiten de school zelf. Ouders werden onvrijwillig betrokken bij een conflict waar ze geen controle over hadden, maar wel rechtstreeks door werden geraakt. Dat onderscheidt deze aanval van ransomware-incidenten die zich hoofdzakelijk intern afspelen.

Dit patroon staat niet op zichzelf. In meerdere internationale incidenten is te zien dat cybercriminelen hun acties uitbreiden naar derden die geen deel uitmaken van de getroffen organisatie. Een bekend voorbeeld is de Finse psychotherapiepraktijk Vastaamo, waar aanvallers na een datadiefstal duizenden cliënten rechtstreeks afpersten in 2020.

De aanval op de Antwerpse school laat zien dat ransomware steeds minder draait om technische ontregeling alleen. Het sturen van dreigbrieven naar ouders is geen bijzaak, maar een bewuste communicatiestrategie. De boodschap is duidelijk: wanneer interne druk niet volstaat, worden alternatieve kanalen gezocht om de druk te vergroten. Angst en bezorgdheid worden zo onderdeel van het aanvalsscenario.

Bij zogenoemde double- en triple-extortion-aanvallen worden niet alleen systemen gegijzeld. Er wordt ook data buitgemaakt en dat wordt duidelijk gecommuniceerd naar betrokkenen. Die aanpak heeft een belangrijk voordeel voor aanvallers: ze zijn minder afhankelijk van technische controle over systemen en hopen voordeel te halen uit paniekreacties van derden.

Door datadiefstal en communicatie te combineren, verschuift de aanval van een tijdelijk technisch probleem naar een voortdurend narratief van dreiging. Een bijkomend kenmerk van dit soort aanvallen is dus het ontbreken van een duidelijk eindpunt. Zelfs wanneer systemen worden hersteld en er geen data wordt gepubliceerd, blijft onzekerheid bestaan. Wat is er precies buitgemaakt? Wie heeft de gestolen data in handen? En wanneer kan die informatie alsnog worden misbruikt? In het Antwerpse dossier bleef lange tijd onduidelijk of gegevens effectief zouden worden gelekt, terwijl de dreiging bleef hangen.

Dat maakt dit type incident fundamenteel anders dan een klassieke IT-storing. De impact stopt niet bij een technisch herstelmoment, maar kan aanhouden in communicatie, vertrouwen en publieke perceptie.