22% van Britse ransomware-betalers krijgt te maken met tweede afpersing

Het betalen van een ransomwarebende was nooit een garantie voor veiligheid, maar nieuw onderzoek geeft een hard cijfer over hoe vaak die gok mislukt. Volgens recente bevindingen betaalde 58% van de Britse organisaties die door ransomware werden getroffen het geëiste losgeld, en 22% van die betalers kreeg daarna te maken met een tweede afpersingspoging. De boodschap voor IT-teams, en voor iedereen wiens persoonlijke gegevens via bedrijfsnetwerken gaan, is dat het oude draaiboek van 'betalen en doorgaan' niet langer standhoudt.

De nieuwe realiteit: betalen beëindigt de aanval niet

Ransomware volgde vroeger een vrij voorspelbaar script: aanvallers versleutelen je bestanden, jij betaalt, je krijgt een decoderingssleutel en het incident is gesloten. Dat script is herschreven. De verschuiving naar dubbele afpersing, waarbij aanvallers gegevens stelen voordat ze deze versleutelen en dreigen die gegevens te lekken ongeacht betaling, betekent dat een losgeldtransactie niets oplost. Het cijfer van 22% dat herhaalde afpersing laat zien tegen organisaties die al betaald hebben, bevestigt wat veel beveiligingsonderzoekers al jaren waarschuwen: zodra je gegevens de deur uit zijn, heb je geen echte controle meer over wat er daarna mee gebeurt. Een criminele groep die eenmaal is betaald, heeft alle reden om terug te komen, of het nu dezelfde actor is of een andere die werkt met doorverkochte toegang.

Voor Windows-beheerders in het bijzonder verandert dit de calculus rond incidentrespons. Herstellen vanuit een back-up werd vroeger behandeld als het alternatief voor betalen. Nu moet het worden behandeld als de basisverwachting, omdat betaling de gegevensdiefstal niet betrouwbaar stopt. Geteste, offline back-ups, sterke identiteitsbeveiligingscontroles en een gedocumenteerd herstelplan zijn wat de cyclus werkelijk doorbreekt, niet een overschrijving naar een anonieme portemonnee.

AI versnelt de eerste inbreuk

Een ander belangrijk thema in dit onderzoek is de groeiende rol van AI in de vroege stadia van een aanval. De eerste inbreuk, het moment waarop aanvallers voor het eerst voet aan de grond krijgen in een netwerk, is waar AI-tools naar verluidt de grootste impact hebben. Snellere verkenning, overtuigender phishing-lokmiddelen en snellere identificatie van misbruikbare zwakke plekken verkleinen allemaal het venster dat verdedigers hebben om op te merken dat er iets mis is voordat de schade is aangericht.

Dit is belangrijk omdat de meeste ransomware-verdedigingen nog steeds zijn gebouwd op de veronderstelling dat aanvallers tijd nodig hebben om zich door een netwerk te bewegen voordat ze ernstige schade kunnen aanrichten. Als AI dat tijdsbestek comprimeert, worden organisaties die uitsluitend vertrouwen op periodieke patchcycli en handmatige monitoring steeds kwetsbaarder. Het onderstreept waarom identiteitsbeveiliging, zaken als multi-factor authenticatie, privileged access management en snelle anomaliedetectie, net zo belangrijk is geworden als endpoint-beveiliging.

Waarom gegevensdiefstal het echte privacyverhaal is

Hoewel versleutelde bestanden de meeste krantenkoppen halen, zet het model van dubbele afpersing de schijnwerpers op iets dat voor gewone mensen veel belangrijker is: de gegevens zelf. Elk ransomware-incident waarbij gestolen HR-dossiers, klantdatabases of werknemersbestanden betrokken zijn, is in de kern een privacy-incident. Denk aan hoe datalek in het HR-systeem van Statistics South Africa legt werknemersgegevens bloot, een zaak die illustreert hoe interne systemen met gevoelige persoonlijke informatie het eigenlijke doelwit kunnen worden, en niet slechts bijkomende schade van een bredere aanval. Wanneer ransomwaregroepen dit soort gegevens exfiltreren voordat ze systemen vergrendelen, doet het betalen van het losgeld niets af aan het feit dat namen, salarissen, adressen of gezondheidsgegevens mogelijk al op een criminele server staan of al te koop zijn.

Dit is het stuk dat vaak ontbreekt in puur technische berichtgeving over ransomware: de tweede afpersingspoging is niet alleen een hoofdpijndossier voor bedrijven, het is een tweede golf van blootstelling voor de personen wiens gegevens in eerste instantie zijn gestolen. Werknemers, klanten en patiënten hebben zelden iets te zeggen over of hun organisatie betaalt, maar zij dragen wel het voortdurende risico op identiteitsdiefstal, gerichte phishing of fraude, lang nadat de krantenkoppen zijn verdwenen.

Wat dit voor jou betekent

Als je in IT of beveiliging werkt, zijn deze gegevens een duidelijk signaal om te stoppen met het behandelen van losgeldbetaling als een oplossing en het te gaan behandelen als een laatste redmiddel in het ergste geval. Herstelplannen, onveranderlijke back-ups en op identiteit gerichte verdediging verdienen meer budget en testtijd dan ze doorgaans krijgen. Als je een werknemer of klant bent van een organisatie die een ransomware-incident heeft gemeld, ga er dan van uit dat je gegevens mogelijk zijn gekopieerd, zelfs als je te horen krijgt dat systemen zijn 'hersteld'. Houd je accounts in de gaten, let op phishing-pogingen die naar het datalek verwijzen, en overweeg kredietmonitoring als er gevoelige persoonlijke of financiële gegevens bij betrokken waren.

Praktische tips

Organisaties moeten regelmatig de integriteit van back-ups controleren en verifiëren dat back-ups echt geïsoleerd zijn van het productienetwerk. Multi-factor authenticatie en least-privilege-toegang moeten niet-onderhandelbaar zijn op alle systemen, niet alleen de kritieke. Incidentresponsplannen moeten expliciet ingaan op het scenario van dubbele afpersing, inclusief juridische en communicatiestappen voor wanneer gestolen gegevens openbaar opduiken. Personen die getroffen zijn door een ransomware-melding moeten wachtwoorden wijzigen, MFA inschakelen waar beschikbaar, en alert blijven voor vervolgscams. De gegevens zijn duidelijk dat herhaalde afpersing bij ransomware niet langer een zeldzaam grensgeval is; het wordt een standaard onderdeel van de aanvalslevenscyclus, en voorbereiding is de enige echte verdediging.