De voorbije jaren haalden verschil­lende cyber­aan­vallen op Belgi­sche organi­sa­ties de actua­li­teit. Vaak gaat het daarbij niet alleen om stilge­legde systemen, maar ook om gestolen gevoe­lige data en druk om losgeld te betalen.

Voor organi­sa­ties die getroffen worden door ransom­ware ontstaat dan onver­mij­de­lijk dezelfde moeilijke vraag: betaal je losgeld of niet? Overheden raden duide­lijk af om te betalen, maar in de praktijk is die beslis­sing zelden zwart-wit. Wanneer systemen stilliggen, gevoe­lige data mogelijk gelekt worden en klanten of medewer­kers geraakt zijn, komt een organi­satie terecht in een complexe crisis waarin techno­lo­gi­sche, juridi­sche en strate­gi­sche factoren samenkomen.

Kan de organi­satie haar systemen voldoende snel herstellen via back-ups? Werden er effec­tief gevoe­lige gegevens gestolen? Zijn de aanval­lers mogelijk gelinkt aan gesanc­ti­o­neerde organi­sa­ties waardoor betalen illegaal wordt? En vooral: biedt betaling überhaupt enige garantie dat het probleem opgelost raakt?

Net daarom wordt ransom­ware-onder­han­de­ling vandaag beschouwd als een gespe­ci­a­li­seerde disci­pline binnen incident response en crisisbeheer.

Onderhandelen met cybercriminelen is een gestructureerd proces

Veel mensen denken bij ransom­ware-onder­han­de­lingen aan een geïmpro­vi­seerde chatcon­ver­satie met cyber­cri­mi­nelen. In werke­lijk­heid verloopt dit veel profes­si­o­neler en gestructureerder.

Voordat er überhaupt over betaling wordt gesproken, proberen incident respon­ders eerst de aanval­lers correct te identi­fi­ceren. Dat is essen­tieel, omdat sommige ransom­wa­re­groepen banden hebben met gesanc­ti­o­neerde staten of crimi­nele organi­sa­ties. In zulke gevallen mag er juridisch gezien geen betaling plaats­vinden en moet alle commu­ni­catie onmid­del­lijk worden stopgezet.

Daarnaast wordt onder­zocht wat exact werd buitge­maakt. In ongeveer 98% van de ransom­ware-incidenten worden vandaag ook data gestolen. Daardoor draait een aanval allang niet meer alleen om versleu­telde systemen, maar evenzeer om reputa­tie­schade, mogelijke GDPR-gevolgen en druk vanuit klanten of partners.

Onder­han­de­laars vragen daarom eerst bewijzen op van de gestolen data. Ze analy­seren of de infor­matie werke­lijk gevoelig of waardevol is. Want organi­sa­ties onder­schatten soms niet alleen de impact van een aanval — ze overschatten ze onder druk soms ook. Wanneer blijkt dat de aanval­lers geen relevante data in handen hebben, wordt meestal aange­raden om niet te betalen.

Wanneer de gestolen infor­matie wel waardevol blijkt, proberen gespe­ci­a­li­seerde onder­han­de­laars het geëiste bedrag aanzien­lijk te vermin­deren. Daarbij speelt ervaring een grote rol. Sommige ransom­wa­re­groepen weigeren elke toege­ving, terwijl andere bereid zijn om hun eisen fors te laten zakken. In bepaalde gevallen wordt uitein­de­lijk minder dan 10% van het oorspron­ke­lijke bedrag betaald.

Uit onder­zoek van Arctic Wolf blijkt dat profes­si­o­nele onder­han­de­lingen ransom­wa­re­be­ta­lingen gemid­deld met 67% kunnen vermin­deren. Wanneer ook incidenten worden meege­re­kend waarbij betaling volledig vermeden wordt, loopt die bespa­ring zelfs op tot 94%.

Cybercriminelen werken steeds professioneler

Wat ransom­ware extra gevaar­lijk maakt, is dat veel cyber­cri­mi­nelen vandaag functi­o­neren als echte bedrijven. Ze speci­a­li­seren zich, werken samen met andere groepen en verfijnen voort­du­rend hun methodes op basis van eerdere successen.

Ook hun aanvals­tech­nieken evolu­eren snel. Sommige groepen focussen zich tegen­woordig uitslui­tend op datadief­stal zonder systemen nog te versleu­telen. Voor hen verlaagt dat het risico om ontdekt te worden, terwijl de druk op slacht­of­fers groot blijft.

Daarnaast worden de intimi­da­tie­tech­nieken agres­siever. In uitzon­der­lijke gevallen werken ransom­wa­re­groepen zelfs samen met lokale crimi­nele netwerken om slacht­of­fers fysiek onder druk te zetten. Dat gaat van intimi­datie aan woningen tot expli­ciete bedrei­gingen om betalingen sneller af te dwingen.

Dat onder­streept meteen waarom discretie en opera­ti­o­nele veilig­heid cruciaal zijn tijdens ransomware-onderhandelingen.

Tegelijk blijft één reali­teit altijd overeind: cyber­cri­mi­nelen blijven onbetrouw­bare gespreks­part­ners. Zelfs wanneer losgeld betaald wordt, bestaat er geen enkele garantie dat gestolen data effec­tief verwij­derd worden. In sommige gevallen doken gegevens later opnieuw op bij andere afpersingspogingen.

Goede voorbereiding blijft de beste verdediging

Hoewel onder­han­delen soms noodza­ke­lijk wordt, blijft voorkomen uiter­aard beter dan genezen.

Een sterke back-upstra­tegie blijft essen­tieel. Back-ups moeten niet alleen frequent worden gemaakt, maar ook getest en offline bewaard worden. Organi­sa­ties die hun systemen zelfstandig kunnen herstellen, staan veel sterker wanneer ze gecon­fron­teerd worden met ransomware.

Daarnaast helpt het om gevoe­lige data standaard sterk te versleu­telen. Wanneer gestolen gegevens onbruik­baar blijken, verliezen ze groten­deels hun waarde voor aanvallers.

Minstens even belang­rijk is een degelijk incident response-plan waarin ook ransom­ware- en losgeldscenario’s expli­ciet opgenomen zijn. Rollen, escala­tie­pro­ce­dures, juridi­sche afwegingen en commu­ni­catie moeten vooraf duide­lijk vastliggen.

Ook preventie blijft cruciaal. Multi-factor authen­ti­catie, endpoint security, continue monito­ring en oplei­dingen voor medewer­kers blijven funda­men­tele bouwstenen van cyber­se­cu­rity. Meer dan de helft van alle security alerts gebeurt boven­dien buiten de kantoor­uren, wat aantoont hoe belang­rijk 24/​7 monito­ring geworden is.

In veel gevallen kunnen aanvallen nog tijdig worden gestopt vóór ransom­ware effec­tief wordt uitge­rold of grote hoeveel­heden data worden buitgemaakt.

Niet betalen blijft het uitgangspunt

De recente cyberin­ci­denten in België tonen hoe moeilijk beslis­singen rond ransom­ware geworden zijn. Het algemene advies blijft om geen losgeld te betalen aan cyber­cri­mi­nelen. Maar uitein­de­lijk ligt die beslis­sing altijd bij de getroffen organi­satie zelf. Wanneer onder­han­de­lingen toch noodza­ke­lijk worden, mogen ze nooit impro­vi­satie zijn. Ze moeten benaderd worden met dezelfde exper­tise, voorbe­rei­ding en struc­tuur als elke andere kritieke bedrijfsbeslissing.