Ransomware is kwaadaardige software die de bestanden op een systeem versleutelt en pas weer vrijgeeft nadat er losgeld is betaald. Zonder de sleutel van de aanvaller zijn de gegevens onbruikbaar.
Ransomware is al jaren een van de meest ontwrichtende vormen van cybercriminaliteit voor Nederlandse organisaties. Een geslaagde aanval legt niet één computer plat maar vaak de hele bedrijfsvoering: productie ligt stil, patiënten kunnen niet worden geholpen, facturen kunnen niet de deur uit.
De versleuteling is de laatste stap, niet de eerste. Een typische aanval verloopt in vijf fasen.
Binnenkomen. Meestal via een phishingmail met een besmette bijlage of link, via gestolen inloggegevens op een externe toegangsvoorziening, of via een kwetsbaarheid in software die niet is bijgewerkt.
Voet aan de grond krijgen. De aanvaller plaatst een programma dat de toegang vasthoudt en verbinding legt met zijn eigen C2-server.
Rondkijken en rechten uitbreiden. De ransomware brengt in kaart in kaart welke systemen er zijn, waar de back-ups staan en hoe hij beheerdersrechten kan bemachtigen. Hiervoor wordt vaak Cobalt Strike ingezet. Deze fase duurt vaak dagen tot weken.
Gegevens wegsluizen. Voordat er iets wordt versleuteld, kopiëren aanvallers de waardevolle gegevens naar buiten. Dit heet dubbele afpersing: betaal je niet, dan worden de gegevens gepubliceerd. Daarmee helpt een goede back-up je niet meer volledig uit de brand.
Versleutelen. Pas als de back-ups zijn gesaboteerd en de gegevens gekopieerd, wordt de versleuteling gestart. Vaak in het weekend of ’s nachts, wanneer er niemand meekijkt.
Die weken tussen stap één en stap vijf zijn cruciaal. In die periode is de aanval nog te stoppen, mits iemand hem opmerkt.
De schade zit zelden alleen in het losgeld. Bij een productiebedrijf dat wordt getroffen, ligt de fabriek stil zolang de systemen niet draaien. Bij een zorginstelling kunnen dossiers niet worden ingezien. Daar bovenop komen de herstelkosten, het onderzoek naar wat er precies is gebeurd, de meldplicht en het verlies aan vertrouwen bij klanten.
Zijn er persoonsgegevens buitgemaakt, dan geldt bovendien de meldplicht datalekken uit de AVG: melden bij de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking. Voor organisaties die onder NIS2 vallen komt daar een eerste melding binnen 24 uur bij.
Het NCSC en de politie raden af om losgeld te betalen. Betalen biedt geen garantie dat je gegevens terugkrijgt, geen garantie dat ze niet alsnog worden gepubliceerd, en het financiert de volgende aanval. Aangifte doen bij de politie kan wel, en wordt aangeraden.
Er is geen enkele maatregel die het risico wegneemt. Wat werkt is een combinatie:
Vragen? Bel gerust naar 0348 796 146
