Wat er gebeurde bij de CMD-ransomwareveiling

Een ransomwaregroep die zichzelf CMD noemt, heeft het draaiboek voor dubbele afpersing een stap verder gebracht door gestolen bestanden te veilen en $1,9 miljoen van het slachtoffer te eisen. In plaats van simpelweg te dreigen met het lekken van gegevens op een vaste deadline, behandelt CMD de gestolen informatie als een handelswaar en nodigt het bieders uit om te concurreren voor toegang als het oorspronkelijke doelwit niet betaalt. Deze zet weerspiegelt een bredere verschuiving in de ransomware-economie: versleuteling alleen is al jaren niet meer genoeg om betaling te garanderen, dus bendes experimenteren met nieuwe manieren om waarde uit gestolen gegevens te persen, zelfs als een slachtoffer weigert te onderhandelen.

Deze zaak past in een veel groter patroon. Zoals beschreven in de samenvatting van vpn.social over de bredere ransomware-golf van 2026, is het criminele ecosysteem versplinterd in een overvol veld van concurrerende groepen, die zich elk proberen te onderscheiden om slachtoffers sneller en harder onder druk te zetten. Het veilen van gegevens is een van de agressievere tactieken die uit die concurrentie voortkomt, waardoor een lekbedreiging verandert in een marktplaatsevenement.

Hoe ransomware met dubbele afpersing werkt

Bij ransomware met dubbele afpersing worden twee afzonderlijke bedreigingen gecombineerd in één aanval. Eerst dringen aanvallers een netwerk binnen en kopiëren ze stilletjes gevoelige bestanden: financiële administratie, klantgegevens, interne communicatie – alles wat waarde heeft. Pas nadat die exfiltratie is voltooid, zetten ze de versleuteling in die de systemen van het slachtoffer blokkeert. Deze volgorde is van belang. Het betekent dat de schade al is aangericht lang voordat er een losgeldbriefje verschijnt.

Het oorspronkelijke model van één pressiemiddel – betalen voor een decryptiesleutel of je bestanden verliezen – verloor aan effectiviteit doordat organisaties investeerden in offline en onveranderlijke back-ups. Als je je systemen kunt herstellen zonder hulp van de aanvaller, wordt versleuteling eerder een lastige storing dan een existentiële bedreiging. Dubbele afpersing lost dat probleem voor aanvallers op door een tweede drukmiddel toe te voegen: zelfs als je de decryptiesleutel niet nodig hebt, moet je je nog steeds zorgen maken dat je gestolen gegevens worden gepubliceerd, verkocht of, in het geval van CMD, geveild aan de hoogste bieder. Sommige bendes hebben dit verder opgevoerd tot driedubbele en viervoudige afpersing, door denial-of-service-aanvallen toe te voegen of rechtstreeks contact op te nemen met klanten en partners van een slachtoffer om de druk te vergroten.

Waarom offline back-ups geen garantie meer zijn op veiligheid

Jarenlang draaide het standaardadvies voor ransomwareverdediging om back-ups: bewaar kopieën van je gegevens offline of in onveranderlijke opslag, en een versleutelingsaanval wordt herstelbaar in plaats van catastrofaal. Dat advies is nog steeds geldig voor het versleutelingsdeel van de dreiging, maar het doet niets om gegevensdiefstal te voorkomen. Back-ups stellen je in staat om weer operationeel te worden; ze maken niet ongedaan dat er al een kopie van je bestanden op een server van de aanvaller staat.

Juist dat onderscheid maakt dat sommige organisaties die technisch gezien zelfstandig kunnen herstellen, toch intense druk voelen om te betalen. Het is ook waarom weigeren te betalen een zichtbaardere, en in sommige gevallen vaker voorkomende, reactie is geworden. In de berichtgeving van vpn.social over de ransomwareaanval op Stadler Rail werd gedocumenteerd hoe een bedrijf publiekelijk een eis van $12,3 miljoen weigerde ondanks de dreiging van gegevensdiefstal, en een gerelateerd artikel beschreef hoe het datalek door de Everest-bende zich voltrok. Deze gevallen laten zien dat betalen niet vanzelfsprekend is alleen omdat er gegevens zijn gestolen, maar ze onderstrepen ook dat de beslissing nu afhangt van blootstelling van gegevens en reputatierisico, niet alleen van operationele stilstand.

Controleren of jouw gegevens zijn blootgesteld en toekomstig risico verkleinen

Als je te maken hebt met een organisatie die een inbreuk meldt waarbij een groep als CMD betrokken is, neem elke melding dan serieus, ook als het bedrijf zegt dat systemen zijn hersteld. Herstel heeft betrekking op versleuteling, niet op blootstelling. Let op officiële inbreukmeldingen, controleer of de getroffen organisatie kredietbewaking of identiteitsbescherming aanbiedt, en wees alert op phishingpogingen die naar het incident verwijzen, omdat gestolen gegevens vaak worden gebruikt om overtuigende vervolgoplichting in elkaar te zetten.

Voor organisaties ligt de praktische verschuiving in het verminderen van wat er in de eerste plaats gestolen kan worden: strenger toegangsbeheer, netwerksegmentatie, snellere detectie van ongebruikelijke gegevensoverdrachten en het minimaliseren van hoe lang gevoelige gegevens toegankelijk op interne systemen staan. Herstelplanning blijft belangrijk, maar zoals beschreven in een recent wereldwijd ransomware-rapport stijgen de herstelkosten zelfs terwijl het totale aantal betalingen daalt, een teken dat preventie en het beperken van gegevensblootstelling net zo belangrijk worden als de back-upstrategie.

Wat dit voor jou betekent

Of je nu een IT-beslisser bent of gewoon klant van een bedrijf dat getroffen wordt, de CMD-veiling is er een herinnering aan dat gegevensdiefstal bij dubbele afpersing niet wacht op een losgeldbeslissing om schade te veroorzaken. De blootstelling vindt plaats zodra gegevens het netwerk verlaten, ongeacht wat er daarna gebeurt. Dat verandert de calculus voor zowel verdedigers als gewone gebruikers die alert moeten blijven na een inbreukmelding, en er niet zomaar van uit moeten gaan dat een opgelost incident ook een opgelost risico betekent.

Belangrijkste punten

  • Back-ups beschermen tegen versleuteling, niet tegen gegevensdiefstal of lekken.
  • Dubbele afpersingstactieken zoals het veilingmodel van CMD verhogen de druk, zelfs als slachtoffers zelfstandig kunnen herstellen.
  • Weigeren te betalen, zoals te zien in de zaak-Stadler Rail, wordt een zichtbaardere optie, maar neemt het blootstellingsrisico niet weg.
  • Als je een inbreukmelding ontvangt, wees dan bedacht op phishing en overweeg identiteitsbewaking in plaats van aan te nemen dat de dreiging eindigde met het losgeldbesluit.
  • Organisaties moeten prioriteit geven aan het beperken van gegevenstoegang en het vroegtijdig detecteren van exfiltratie, niet alleen aan het onderhouden van robuuste back-upsystemen.