FIOD pakte 800 servers in beslag. Twee Nederlandse bedrijven hielpen Russische cyberaanvallen op Europa.

Wat de inval van vorige week zegt over de keten achter jouw bedrijfstelefoon.​

Op 18 mei stond de FIOD voor de deur op vijf adressen. Twee bedrijfspanden in Enschede en Almere. Twee datacenters in Dronten en Schiphol-Rijk. Aan het eind van de dag zaten twee mannen vast. Een 57-jarige uit Amsterdam, een 39-jarige uit Den Haag. In beslag, ruim 800 servers. Plus laptops, telefoons en administratie. De verdenking, overtreding van de Sanctiewet.

Het ging om de Nederlandse tak van het Russisch verbonden netwerk Stark Industries Solutions. Op de EU-sanctielijst sinds mei 2025. Krebs on Security en de Volkskrant brachten gisteren de hele context naar buiten. Twee Nederlandse bedrijven, MIRhosting en WorkTitans BV, namen de technische infrastructuur van Stark over.

Voor MKB-Nederland is dit geen ver-van-mijn-bed nieuws. Het raakt iets concreets. Wat zit er achter jouw zakelijke communicatie?

Wat de FIOD-aanklacht echt zegt

Het onderzoek richt zich op een webhostingsbedrijf, opgericht op 10 februari 2022. Twee weken voor de Russische inval in Oekraïne. De aanklacht? Inzet voor destabiliserende activiteiten tegen de Europese Unie. Inmenging, cyberaanvallen, verspreiding van desinformatie.

De Volkskrant meldde een opvallend detail. Tussen 13 en 19 november 2025 trof een golf aanvallen Deense overheidsorganen. Dat was de week van de gemeenteraadsverkiezingen daar. MIRhosting en WorkTitans bleken de meest gebruikte netwerken bij die pro-Russische aanvallen.

MIRhosting ontkent. Het bedrijf kondigde een intern onderzoek aan en pauzeerde de dienstverlening aan WorkTitans tijdelijk. "Onze voorlopige bevindingen geven geen aanwijzingen dat onze diensten daadwerkelijk zijn gebruikt", aldus het statement op LinkedIn. De Deense verkiezingen zouden er niet door zijn beïnvloed. Oprichter Andrey Nesterenko ontkent ook. Hij stelt dat de overgang naar de nieuwe entiteit niet bedoeld was om sancties te omzeilen.

De rechter zal oordelen. Voor het MKB telt vooral wat nu al vaststaat. Nederlandse hosting is internationaal vervlochten op een manier die voor de gemiddelde ondernemer onzichtbaar blijft.

De betalingsroute die weinig media oppikken

Eén kant van het verhaal blijft in de grote media onderbelicht. Hoe financiert zo'n netwerk zich? Op de eigen Stark-afrekenpagina staat het er gewoon. Bitcoin, Monero, Dash, Ether. Vier knoppen. Geen vragen vooraf.

CryptoFocus dook in die hoek en analyseerde wat dit betekent voor de MiCAR-regels die op 1 juli ingaan. Voor een MKB-ondernemer voelt dat ver weg. Het zit wel in dezelfde keten. Een hostingdienst die openlijk crypto accepteert, is voor niemand goed traceerbaar. De toezichthouder mist zicht. De klanten van de leveranciers er omheen weten van niets. En de bedrijven die er dagelijks gebruik van maken, hebben geen idee dat ze in die keten zitten.

Waarom dit jouw bedrijfstelefoon raakt

Klantcontact draait grotendeels op digitale infrastructuur. Een inkomend gesprek. Het transcript dat naar het CRM gaat. De samenvatting per mail bij de klant. Elke schakel draait ergens. Op welk continent? Onder welk recht? Met welke leveranciers in de keten? Voor de meeste MKB-ondernemers blijft dat een blinde vlek.

Tot vorige week. De inval bij MIRhosting maakt duidelijk dat Nederlandse infrastructuur ingezet kan worden voor zaken waar de gebruikers niets van afweten. De klant van een gehackte hoster is doorgaans de laatste die het hoort. Pas wanneer de FIOD voor de deur staat of de AP een onderzoek opent, komen vragen los.

Drie gevolgen voor klantcontact.

Eén. DDoS-aanvallen vanuit Stark-affiliated netwerken hebben Europese bedrijven al gestoord. Wie zijn telefonie via een traditionele centrale draait, of via een leverancier zonder doorzichtige keten, kan plotseling onbereikbaar zijn. Het NCSC waarschuwt al sinds 2024 voor verhoogde DDoS-activiteit vanuit dit type netwerken.

Twee. Proxydiensten van zulke netwerken faciliteren vishing-aanvallen. Een crimineel die via een Nederlandse IP belt met jouw klantenservice oogt onschuldig. De werkelijke herkomst blijft verborgen. We schreven daar vorige week over bij de ShinyHunters-zaak.

Drie. Compliance-druk neemt toe. De Autoriteit Persoonsgegevens en de toezichthouder onder de Cyberbeveiligingswet gaan strenger kijken naar wie er in jouw keten zit. Niet morgen, wel komend jaar.

Wat een transparante telefonie-keten praktisch oplevert

Enreach Contact draait op eigen Europese infrastructuur. Geen Amerikaanse hyperscaler in de keten. Geen Russisch gelieerde hosting. Telefonie via browser, app en native in Microsoft Teams.

In de praktijk maakt dat verschil op vier punten.

Eén. Je weet waar je gespreksdata staat. Voor compliance is dat geen bijzaak. De AVG eist dat je kunt aantonen onder welk recht persoonsgegevens worden verwerkt. Een keten die door drie landen loopt, vraagt een dossier dat de meeste MKB-ondernemers niet hebben.

Twee. Je telefonie hangt niet aan de infrastructuur die nu in het nieuws zit. Wanneer de FIOD volgende maand opnieuw uitrukt, raakt dat niet jouw bereikbaarheid. Stark Industries kreeg connectivity via MIRhosting. Bedrijven die hun communicatie via affiliated routes lieten lopen, voelden de uitval.

Drie. Updates en patches gebeuren binnen één bekend kader. Geen afhankelijkheid van een leverancier die de hardware ergens in een ander rechtsgebied beheert.

Vier. Bij incidenten ligt de verantwoordelijkheid op één plek. Heb je een vraag over een mogelijke aanval? Dan hoef je niet door drie ketens te bellen om uit te zoeken wie waarvoor verantwoordelijk is.

Wat Smart Contact en Shomi hieraan toevoegen

Smart Contact transcribeert gesprekken automatisch en maakt samenvattingen. Voor klantcontact is dat pure productiviteit. Voor incident-respons is het iets anders. Een transcript is een audit-trail.

Stel dat de AP morgen vraagt welke gesprekken jouw bedrijf voerde op een specifieke dag in mei. Bij een traditionele telefooncentrale begin je terug te zoeken via belregisters en herinneringen van medewerkers. Bij Smart Contact ligt de inhoud vast. Niet alleen wie er belde en wanneer, maar ook wat er werd besproken.

Shomi, de persoonlijke assistent in Enreach Contact, levert dezelfde laag op een ander vlak. Voicemails worden uitgeschreven, samenvattingen belanden direct in het CRM. Wie achteraf wil zien wat een verdachte beller in de voicemail heeft achtergelaten, vindt dat als tekst terug.

Drie functies samen leveren iets dat het MKB tot voor kort niet had. Een telefonie-omgeving die zowel produceert als zichzelf documenteert. De FIOD neemt 800 servers in beslag. Europa werkt aan een tweede update van de AI Act. In zo'n tijd is een gedocumenteerde keten geen comfort meer. Het is hygiëne.

Wat de tijdlijn van vorige week zegt over morgen

De Stark-zaak loopt al sinds 2022. KrebsOnSecurity publiceerde in mei 2024 een eerste deep-dive. De EU-sanctie volgde mei 2025. KrebsOnSecurity rapporteerde in september 2025 dat sancties niet alle Stark-verbindingen raakten. De FIOD greep mei 2026 in. Vier jaar publieke signalen, één gerichte ingreep.

Voor het MKB betekent dat patroon iets. Wat vandaag onzichtbaar is in je leveranciersketen, wordt morgen zichtbaar in een nieuwsbericht. Vragen die nu nog niet gesteld worden door klanten, accountants of toezichthouders, komen later op tafel. Wie zijn eigen keten kent, blijft buiten die golf. Wie de keten niet kent, leest mee in dezelfde krantenkoppen als zijn klanten.

Het Centraal Planbureau wees al eerder op de groeiende verwevenheid van Nederlandse bedrijfsvoering met internationale digitale ketens. De NCTV waarschuwt al jaren voor hybride dreiging vanuit Rusland. Beide instanties spreken vooral over kritieke infrastructuur. De Stark-zaak laat zien dat de keten breder loopt. Webhosting raakt de servers. De servers dragen telefonie. Telefonie raakt klantcontact. Klantcontact raakt elk MKB-bedrijf.

Wat er bij de MIRhosting-klanten gebeurde

Eén detail uit de Krebs-rapportage springt eruit. Op de dag van de inval verscheen een bericht aan de.hosting-klanten. Helaas zijn de gegevens op de server verloren. Niet meer te herstellen.

Vier zinnen op een scherm. Voor de klanten van die hostingdienst was dat de eerste melding dat hun infrastructuur verdwenen was. Geen backup-tijd, geen migratie-window, geen waarschuwing vooraf. Alleen het bericht achteraf.

Voor MKB-ondernemers is dat het echte rauwe signaal. Wanneer je leverancier in een keten zit die door de autoriteiten wordt geraakt, ben jij ook geraakt. Niet als verdachte. Wel als slachtoffer.

Hoe zo'n dag eruitziet voor een MKB-bedrijf

Stel je een scenario voor dat geen sciencefiction is.

Een installatiebedrijf in Apeldoorn met twaalf medewerkers. Telefonie loopt via een lokale telecom-broker. Achter die broker zit een grotere SIP-leverancier. Die SIP-leverancier huurt rack-ruimte in een datacenter in Nederland. Het datacenter heeft één van zijn upstream-verbindingen via een hosting-partij die net door de FIOD is opgepakt.

Maandagochtend, 08.50 uur. Telefoons werken niet. De medewerker op kantoor belt de broker. De broker belt op zijn beurt de SIP-leverancier. Die belt vervolgens het datacenter. Het datacenter heeft een probleem met één van zijn upstreams, maar weet nog niet welke. Tegen 11.30 uur staat een melding op LinkedIn van een security-journalist over de FIOD-inval. De broker stuurt een mail naar zijn klanten dat er een verstoring is.

Ondertussen missen twaalf monteurs hun ochtendgesprekken met klanten. Niet één keer, een hele werkdag lang. Bestellingen verschuiven, monteurs staan voor dichte deuren, klanten bellen naar de mobiel van de eigenaar. Aan het einde van de dag werkt de telefonie weer deels via een tijdelijke routering. Volledig terug is hij pas woensdag.

De schade voor het installatiebedrijf is niet alleen die ene dag. Het is ook de vraag van de accountant over de keten. De vraag van de grootste klant over compliance. De vraag van de verzekeraar over continuïteit. Drie vragen waar geen documentatie voor klaar lag.

Drie stappen die deze week haalbaar zijn

Voor MKB-ondernemers die niet willen wachten op de volgende FIOD-actie, drie acties zonder grote investering.

Eén. Vraag je telefonieleverancier om de keten te tonen. Waar staan de servers? Onder welk recht? Welke onderaannemers zijn betrokken? Een leverancier die deze vragen niet kort en concreet kan beantwoorden, draagt een risico over.

Twee. Maak een eenvoudig continuïteitsplan voor uitval. Als je telefonie morgen offline is, hoe communiceer je dan met klanten? Een tweede kanaal hoeft niet duur te zijn. Het moet wel bekend zijn bij het team.

Drie. Zet één persoon op de cybersecurity-positie. Geen voltijdsfunctie, wel een aanspreekpunt. Iemand die de leveranciersvraag stelt, het continuïteitsplan beheert, en de eerste actie neemt bij een incident. Voor MKB onder 50 medewerkers is dat vaak een rol naast een andere functie.

Drie vragen voor morgenochtend

Hoeveel weet jouw bedrijf over de keten achter jouw zakelijke telefoon? Niet over wie de factuur stuurt. Over wie de servers beheert, in welk land, onder welk recht. Geen antwoord betekent een blinde vlek.

Wat zou je doen als jouw telefonie morgen uitvalt door een FIOD-inval bij een leverancier? Een team van vijftien dat een dag niet bereikbaar is, kost direct geld. Een week niet bereikbaar zijn, kost klanten.

Wie in jouw organisatie heeft dit nu op de agenda staan? Is het antwoord "niemand"? Dan is dit het signaal om er iemand verantwoordelijk voor te maken. De Stark-zaak komt niet alleen.

Praat met Enreach over hoe jouw bedrijfstelefoon zich verhoudt tot een wereld waarin Nederlandse infrastructuur op de FIOD-radar verschijnt. Geen complottheorie. Wel een vraag over wat je morgen op tafel hebt liggen als iemand het vraagt.