Het losgeld is slechts de aanbetaling

Wanneer de meeste mensen aan de kosten van een ransomware-aanval denken, denken ze aan de losgeldvraag zelf: een vast bedrag dat criminelen vragen in ruil voor een decoderingssleutel. Maar volgens een nieuwe uitleg van Datto is dat bedrag vaak slechts een fractie van wat een organisatie daadwerkelijk betaalt nadat een aanval voorbij is. Stilstand, herstelwerkzaamheden, herstelmaatregelen en juridische verplichtingen kunnen oplopen tot miljoenen dollars, waardoor het oorspronkelijke losgeldbriefje in het niet valt.

Dit onderscheid is belangrijk omdat het herdefinieert hoe bedrijven, en de mensen wier gegevens die bedrijven beheren, over ransomware-risico zouden moeten nadenken. Een bedrijf kan principieel weigeren losgeld te betalen, om vervolgens te ontdekken dat de kosten van het vanaf nul opbouwen van systemen, het informeren van getroffen klanten en het voldoen aan regelgevende eisen veel hoger uitvallen dan wat de criminelen oorspronkelijk eisten.

Waar het echte geld naartoe gaat

Datto's uiteenzetting belicht verschillende kostencategorieën die doorgaans minder aandacht krijgen dan het losgeld zelf:

  • Stilstand: Elk uur dat systemen offline zijn, is een uur van verloren productiviteit, gemiste transacties en verstoorde klantenservice. Voor bedrijven die afhankelijk zijn van continue beschikbaarheid kan dit de grootste kostenfactor zijn.
  • Herstel: Het herbouwen van infrastructuur, het herstellen van gegevens uit back-ups (als die bestaan en bruikbaar zijn) en het verifiëren dat systemen schoon zijn voordat ze weer online worden gebracht, is een langzaam en arbeidsintensief proces.
  • Herstelmaatregelen: Naast het alleen herstellen van de bedrijfsvoering moeten organisaties vaak beveiligingsmaatregelen herzien, kwetsbaarheden patchen en externe experts inschakelen om te bevestigen dat de aanvallers echt weg zijn.
  • Juridische verplichtingen: Datalekmeldingswetten, wettelijke rapportageverplichtingen en mogelijke rechtszaken van getroffen klanten of partners voegen nog een laag van kosten en complexiteit toe, die maanden kan voortduren nadat het technische incident is opgelost.

Die juridische dimensie is waar de privacyrisico's duidelijk worden. Ransomware-aanvallen omvatten steeds vaker gegevensdiefstal naast versleuteling, wat betekent dat persoonlijke informatie, financiële gegevens of gezondheidsgegevens kunnen worden blootgesteld of verkocht, ongeacht of er losgeld wordt betaald. Zodra dat gebeurt, is het incident niet langer een puur technisch probleem maar wordt het een privacy- en compliancekwestie, met meldingstermijnen, toezicht door toezichthouders en reputatieschade die de initiële verstoring overleven.

Waarom BCDR de vergelijking verandert

Datto's uitleg wijst op bedrijfscontinuïteit en disaster recovery (BCDR) als een manier om deze kosten te verkleinen, met name de stilstand- en herstelcomponenten van de rekening. Een volwassen BCDR-strategie is gebouwd rond het hebben van geteste, betrouwbare back-ups en een duidelijk herstelplan voordat een aanval plaatsvindt, niet haastig samengesteld daarna. Organisaties met dit soort voorbereiding komen doorgaans sneller en voorspelbaarder weer online, in plaats van te maken te krijgen met een open-ended hersteltijdlijn terwijl aanvallers hun systemen gegijzeld houden.

Dit is vooral relevant nu ransomwaregroepen hun activiteiten blijven professionaliseren. Zoals besproken in een recent artikel over hoe AI het bedrijfsmodel van ransomware hervormt, worden aanvallers efficiënter in het identificeren van doelwitten, het automatiseren van delen van hun intrusieproces en het onder druk zetten van slachtoffers om snel te betalen. Een snellere, meer geautomatiseerde aanvaller betekent dat verdedigers even snelle, goed geoefende herstelprocessen nodig hebben om het ergste van de stilstand en juridische gevolgen te vermijden.

Wat dit voor u betekent

Als u een bedrijf runt, zelfs een klein bedrijf, zou deze framing moeten veranderen hoe u ransomware-risico beoordeelt. Het is niet voldoende om te vragen "kunnen we het losgeld betalen". De betere vraag is "kunnen we weken van stilstand, een volledige systeemherbouw en de juridische gevolgen betalen als klantgegevens zijn blootgesteld?" Voor de meeste organisaties is het eerlijke antwoord nee, en dat is precies waarom back-up- en herstelplanning dezelfde aandacht verdient als firewalls en endpoint-beveiliging.

Voor individuen gaat de les meer over bewustzijn. Als een bedrijf waarmee u zaken doet het slachtoffer wordt van een ransomware-aanval, kunnen de verstoring en eventuele gegevensblootstelling nog lang nawerken nadat de krantenkoppen verdwijnen, omdat juridische en herstelprocessen vaak maanden voortduren. Letten op datalekmeldingen en begrijpen welke van uw gegevens mogelijk zijn getroffen, blijft een verstandige gewoonte.

Bruikbare conclusies

  • Bedrijven moeten evalueren of hun back-up- en herstelsystemen regelmatig worden getest, niet alleen geïnstalleerd en vergeten.
  • Behandel ransomwareparaadheid als een juridische en privacykwestie, niet alleen als een IT-probleem, gezien de meldings- en compliancekosten die erbij komen kijken.
  • Stel een gedocumenteerd incidentresponsplan op dat stilstand, herstel en wettelijke rapportage samen aanpakt, in plaats van afzonderlijk.
  • Individuen moeten alert blijven op datalekmeldingen van bedrijven waarmee ze te maken hebben, omdat het risico op gegevensblootstelling ruim na de initiële aanval kan voortduren.

Het begrijpen van de volledige kosten van een ransomware-aanval, niet alleen het losgeld, is de eerste stap naar het opbouwen van verdedigingen die daadwerkelijk standhouden wanneer een aanval plaatsvindt.