What is double extortion ransomware?

Double extortion is when attackers steal sensitive data before encrypting files, then demand payment to prevent the data from being published or sold. The theft itself becomes the leverage, even if the victim can restore systems from backups.

Why don't backups protect against double extortion?

Backups solve the availability problem by restoring encrypted systems, but they do nothing to stop attackers from publishing stolen files. Since the ransom demand is about preventing a data leak, restoring from backup doesn't remove the pressure to pay.

What kinds of data do double extortion attackers steal?

Attackers copy customer records, financial documents, employee data, and intellectual property before encrypting systems. This stolen data is then used as leverage to demand payment.

Are some ransomware groups abandoning encryption entirely?

Yes, some groups have concluded that stealing data and threatening exposure is more profitable and less risky than deploying encryption malware across a network. Double extortion sits in the middle of that evolution, with attackers still encrypting but relying on data theft as the primary pressure point.

How common are ransomware attacks?

Kaspersky blocked 250,000 ransomware attacks across the Asia Pacific region in the first half of 2026. This volume shows how routine these attacks have become for organizations of every size.

Ransomware volgde vroeger een simpel script: aanvallers versleutelden je bestanden, je betaalde om ze terug te krijgen, en daar eindigde het verhaal. Een nieuw gepubliceerde gids voor ransomwarepreventie legt uit waarom dat model i...

Wat dubbele afpersingsransomware daadwerkelijk steelt

Ransomware volgde vroeger een simpel script: aanvallers versleutelden je bestanden, je betaalde om ze terug te krijgen, en daar eindigde het verhaal. Een nieuw gepubliceerde gids voor ransomwarepreventie legt uit waarom dat model achterhaald is. Moderne ransomwaresgroepen passen nu dubbele afpersing toe, wat betekent dat ze gevoelige gegevens stelen voordat ze ook maar één bestand versleutelen. Pas nadat ze klantgegevens, financiële documenten, personeelsgegevens of intellectueel eigendom hebben gekopieerd, sluiten ze de systemen af en eisen ze betaling.

De diefstal zelf is het drukmiddel. Als een slachtoffer weigert te betalen, dreigen aanvallers de gestolen gegevens openbaar te maken of aan andere criminelen te verkopen. Die dreiging geldt ongeacht of de organisatie haar systemen kan herstellen vanuit back-ups. De framing van de gids is direct: dubbele afpersing neutraliseert het oude advies om "gewoon vanuit back-up te herstellen", omdat de losgeldeis niet langer alleen gaat over het terugkrijgen van bestanden. Het gaat erom een datalek te voorkomen dat kan leiden tot regelgevende boetes, rechtszaken en reputatieschade die nog lang nazindert nadat de systemen weer online zijn.

Deze verschuiving is al een tijd aan de gang. Zoals besproken in een recente blik op hoe ransomwarebendes versleuteling volledig laten vallen voor afpersing, hebben sommige groepen geconcludeerd dat het stelen van gegevens en het dreigen met openbaarmaking winstgevender en minder riskant is dan het technische werk van het inzetten van versleutelingsmalware op een heel netwerk. Dubbele afpersing bevindt zich in het midden van die evolutie: aanvallers versleutelen nog steeds, maar de datadiefstal is het primaire drukmiddel geworden.

Waarom back-ups niet langer veiligheid garanderen

Jarenlang was de standaardverdediging tegen ransomware eenvoudig: onderhoud solide back-ups, en als aanvallers je systemen versleutelen, herstel dan vanuit een schone kopie en weiger te betalen. Dat advies is nog steeds belangrijk voor operationeel herstel, maar het pakt de volledige dreiging niet meer aan. Een perfecte back-up herstelt je servers. Het doet niets om te voorkomen dat aanvallers gestolen bestanden publiceren als je niet betaalt.

Dit is belangrijk omdat de financiële en juridische blootstelling door een datalek groter kan zijn dan de kosten van downtime zelf. Organisaties die gezondheidsgegevens, financiële gegevens of persoonlijke informatie verwerken, krijgen te maken met meldingsvereisten en mogelijke boetes op het moment dat gestolen gegevens worden bevestigd, of het losgeld nu ooit wordt betaald of niet. Back-ups lossen het beschikbaarheidsprobleem op. Ze lossen het vertrouwelijkheidsprobleem niet op, en dubbele afpersing is specifiek gebouwd om die kloof te benutten.

De schaal van de dreiging onderstreept waarom dit onderscheid belangrijk is. Beveiligingsonderzoekers die de regio Azië-Pacific volgen, meldden dat Kaspersky in de eerste helft van 2026 250.000 ransomwareaanvallen in APAC blokkeerde, een volume dat weerspiegelt hoe routineus deze aanvallen zijn geworden voor organisaties van elke omvang, niet alleen grote ondernemingen met toegewijde beveiligingsteams.

Gelaagde verdediging: VPN's, segmentatie en toegangscontroles

Omdat datadiefstal plaatsvindt vóór versleuteling, moet preventie zich richten op het tegenhouden van aanvallers zodat ze überhaupt geen toegang krijgen tot gevoelige gegevens, niet alleen op herstel achteraf. De gids wijst op een gelaagde aanpak in plaats van een enkele oplossing.

Een VPN is één nuttige laag, vooral voor het beveiligen van externe toegang tot interne systemen, zodat inloggegevens en verkeer tussen externe medewerkers en bedrijfsnetwerken niet worden blootgesteld op openbare of onbeveiligde verbindingen. Maar een VPN alleen voorkomt niet dat een aanvaller die al geldige inloggegevens heeft verkregen, via phishing of een gelekt wachtwoord, vrij kan bewegen zodra hij binnen het netwerk is. Daar wordt netwerksegmentatie essentieel: systemen verdelen in geïsoleerde zones zodat een gecompromitteerd apparaat of account niet elke server en database van de organisatie kan bereiken. Als aanvallers zich niet lateraal kunnen verplaatsen, kunnen ze zelfs na een eerste inbreuk geen massale datadiefstal uitvoeren.

Toegangscontroles maken deze laag compleet. Beperken welke medewerkers en systemen toegang hebben tot gevoelige gegevens, het vereisen van multi-factorauthenticatie en het monitoren op ongebruikelijke gegevensoverdrachten verkleinen allemaal het venster dat aanvallers hebben om informatie te exfiltreren voordat iemand het opmerkt. Geen van deze maatregelen werkt op zichzelf als een wondermiddel. Samen verhogen ze de kosten en moeilijkheid van een succesvolle dubbele afpersingsaanval aanzienlijk.

Een incidentresponsplan opstellen dat verder gaat dan gegevensherstel

Een incidentresponsplan dat alleen is opgebouwd rond het herstellen van systemen vanuit back-up is onvolledig voor het tijdperk van dubbele afpersing. Organisaties hebben een plan nodig dat ook behandelt wat er gebeurt als gestolen gegevens worden bevestigd: wie bepaalt de wettelijke en regelgevende meldingsverplichtingen, hoe communicatie met klanten en partners wordt afgehandeld, en hoe de organisatie besluit of er überhaupt wordt onderhandeld. Deze beslissingen zijn veel moeilijker goed te nemen onder druk tijdens een actief incident dan om vooraf op te plannen.

Wat dit voor jou betekent

Of je nu een klein bedrijf runt of IT beheert voor een grotere organisatie, de praktische conclusie is dezelfde: een verdedigingsstrategie tegen dubbele afpersingsransomware kan niet stoppen bij back-ups. Preventie van datadiefstal verdient dezelfde aandacht als gegevensherstel. Dat betekent externe toegang beveiligen, netwerken segmenteren zodat één gecompromitteerd account niet alles blootlegt, en een responsplan hebben dat scenario's van gegevensblootstelling dekt, niet alleen downtime.

Belangrijkste punten

Ga ervan uit dat elk ransomware-incident datadiefstal kan omvatten, niet alleen versleuteling, en plan daarop.
Behandel back-ups als één verdedigingslaag voor systeemherstel, niet als een volledige oplossing tegen afpersing.
Gebruik een VPN om externe toegang te beveiligen, maar combineer deze met netwerksegmentatie en sterke toegangscontroles om laterale beweging te beperken.
Stel een incidentresponsplan op dat gegevensblootstelling en meldingsverplichtingen behandelt, niet alleen systeemherstel.
Blijf op de hoogte van hoe ransomwaretactieken blijven verschuiven, aangezien aanvallers hun methoden regelmatig aanpassen naarmate verdedigingen verbeteren.

FAQ: Q1: Wat is dubbele afpersingsransomware? A1: Dubbele afpersing is wanneer aanvallers gevoelige gegevens stelen voordat ze bestanden versleutelen, en vervolgens betaling eisen om te voorkomen dat de gegevens worden gepubliceerd of verkocht. De diefstal zelf wordt het drukmiddel, zelfs als het slachtoffer systemen kan herstellen vanuit back-ups. Q2: Waarom beschermen back-ups niet tegen dubbele afpersing? A2: Back-ups lossen het beschikbaarheidsprobleem op door versleutelde systemen te herstellen, maar ze doen niets om te voorkomen dat aanvallers gestolen bestanden publiceren. Omdat de losgeldeis gaat over het voorkomen van een datalek, haalt herstel vanuit back-up de druk om te betalen niet weg. Q3: Wat voor soorten gegevens stelen aanvallers bij dubbele afpersing? A3: Aanvallers kopiëren klantgegevens, financiële documenten, personeelsgegevens en intellectueel eigendom voordat ze systemen versleutelen. Deze gestolen gegevens worden vervolgens gebruikt als drukmiddel om betaling te eisen. Q4: Zijn sommige ransomwaresgroepen versleuteling helemaal aan het opgeven? A4: Ja, sommige groepen hebben geconcludeerd dat het stelen van gegevens en het dreigen met openbaarmaking winstgevender en minder riskant is dan het inzetten van versleutelingsmalware op een netwerk. Dubbele afpersing bevindt zich in het midden van die evolutie, waarbij aanvallers nog steeds versleutelen maar vertrouwen op datadiefstal als primair drukmiddel. Q5: Hoe vaak komen ransomwareaanvallen voor? A5: Kaspersky blokkeerde in de eerste helft van 2026 250.000 ransomwareaanvallen in de regio Azië-Pacific. Dit volume toont hoe routineus deze aanvallen zijn geworden voor organisaties van elke omvang.

---END---