Ransomware is allang niet meer alleen het versleutelen van bestanden. De schadelijkste aanvallen van vandaag volgen een voorspelbare levenscyclus die niet eindigt met één losgeldeis, maar met twee. Begrijpen hoe dit proces verloopt, en waar veelgebruikte verdedigingen zoals VPN’s tekortschieten, is de eerste stap naar een beveiligingshouding die hier daadwerkelijk tegen bestand is.

De levenscyclus van een ransomware-aanval, stap voor stap

Moderne ransomware-campagnes beginnen zelden met versleuteling. Dat is de slotakte, niet de openingszet. In geavanceerde gevallen krijgen aanvallers eerst toegang tot een netwerk, vaak via gestolen inloggegevens, phishing of een onbeschermde kwetsbaarheid. Eenmaal binnen verkennen ze in stilte de omgeving, breiden ze hun rechten uit en identificeren ze de gevoeligste of waardevolste gegevens die ze kunnen vinden.

Hier komt het cruciale deel: voordat er ook maar één bestand wordt vergrendeld, sluizen aanvallers die gevoelige gegevens naar servers onder hun controle. Deze stap, die in oudere omschrijvingen van ransomware nog weleens over het hoofd wordt gezien, is inmiddels standaardpraktijk bij professionele groepen. Pas nadat de gegevens zijn gekopieerd, gaat de malware over tot het versleutelen van bestanden op de systemen van het slachtoffer, waardoor deze in een snelle, vaak geautomatiseerde uitbarsting ontoegankelijk worden.

Met beide pressiemiddelen in handen – versleutelde systemen én gestolen data – presenteren de aanvallers hun losgeldeis. Hier komt ‘dubbele afpersing’ om de hoek kijken. Slachtoffers worden onder druk gezet om niet alleen te betalen voor een decryptiesleutel om hun systemen te herstellen, maar ook om te voorkomen dat vertrouwelijke informatie openbaar wordt gemaakt of verkocht. Weigeren te betalen betekent niet langer alleen het risico op permanent gegevensverlies; het betekent het risico op een openbare lek van klantgegevens, financiële informatie of intellectueel eigendom.

Deze tweeledige pressiecampagne is zo gebruikelijk geworden dat sommige dreigingsactoren de versleuteling inmiddels helemaal overslaan en puur vertrouwen op de dreiging van datablootstelling. Recente afpersingscampagnes van groepen zoals Clop illustreren deze verschuiving duidelijk, zoals te zien is in de Clop PLM-afpersingsgolf die PTC Windchill-systemen trof en de gerelateerde Clop-ransomwarecampagne tegen PTC Windchill en FlexPLM, waarbij de gestolen gegevens zélf het belangrijkste drukmiddel werden.

Waarom een VPN je niet volledig beschermt

Een VPN versleutelt je internetverbinding en kan voorkomen dat je verkeer wordt onderschept of je locatie wordt gevolgd. Dat is waardevol, maar het dekt slechts een smal deel van het risico-oppervlak. Een VPN weerhoudt een aanvaller niet die al geldige inloggegevens heeft bemachtigd, een softwarelek heeft misbruikt of een medewerker heeft overgehaald op een kwaadaardige link te klikken. Eenmaal binnen in een netwerk verplaatsen ransomware-operators zich zijwaarts door interne systemen, sluizen ze gegevens weg en zetten ze versleutelingspakketten in, volledig los van hoe iemand in eerste instantie verbinding maakte met het internet.

Met andere woorden: een VPN beschermt de tunnel, niet de bestemming. Het kan niet inspecteren wat er binnen je netwerk gebeurt, ongebruikelijke gegevensoverdrachten detecteren of voorkomen dat malware wordt uitgevoerd zodra die voet aan de grond heeft. Een VPN beschouwen als een complete ransomware-verdediging creëert een gevaarlijke blinde vlek, vooral nu aanvallen steeds geautomatiseerder worden. Beveiligingsonderzoekers hebben zelfs gevallen gedocumenteerd van volledig autonome AI-gestuurde ransomware-aanvallen, waarbij een AI-agent de verkenning, exploitatie en afpersing afhandelde zonder dat een menselijke operator elke stap aanstuurde. Zulke dreigingen bewegen sneller dan waarvoor de reikwijdte van een VPN ooit is ontworpen.

Waarom betalen geen veiligheid garandeert

Zelfs organisaties die losgeld betalen, komen er vaak achter dat het probleem daarmee niet voorbij is. Recent onderzoek onder Britse ransomware-slachtoffers toonde aan dat een significant deel van de organisaties die betaalden, alsnog te maken kreeg met een tweede afpersingsronde, hetzij via nieuwe eisen, extra datalekken of volledig nieuwe aanvallen. Die gegevens onderstrepen een harde waarheid: dubbele afpersing eindigt niet nadat slachtoffers hebben betaald. Betalen kan tijd kopen, maar het wist niet het feit uit dat je gegevens zijn gestolen, noch herstelt het het vertrouwen dat een inbreuk volledig is ingedamd.

Wat dit voor jou betekent

Of je nu een klein bedrijfsnetwerk beheert of simpelweg de risico’s wilt begrijpen van de systemen waarvan je afhankelijk bent, de levenscyclus van een ransomware-aanval zou moeten veranderen hoe je over bescherming denkt. Preventie moet ruim plaatsvinden voordat versleuteling ooit optreedt, want tegen de tijd dat bestanden zijn vergrendeld, hebben gevoelige gegevens het pand doorgaans al verlaten.

Dit betekent dat gelaagde verdediging veel belangrijker is dan welk afzonderlijk middel ook. Regelmatige, geteste back-ups die offline of in geïsoleerde omgevingen worden bewaard, verminderen de pressie die versleuteling aanvallers geeft. Netwerksegmentatie beperkt hoe ver een indringer zich kan verplaatsen zodra die initiële toegang heeft verkregen. Continue monitoring op ongebruikelijke gegevensoverdrachten kan exfiltratie onderscheppen voordat het een regelrechte afpersingszaak wordt. Multi-factorauthenticatie en tijdig patchen sluiten veel van de initiële toegangspunten af waar aanvallers op vertrouwen.

Concrete aanbevelingen

Begin met de aanname dat elke afzonderlijke beveiligingslaag, inclusief een VPN, omzeild kan worden. Maak back-ups van kritieke gegevens volgens een schema dat je ook daadwerkelijk test, niet alleen waarvan je aanneemt dat het werkt. Segmenteer je netwerk zodat één gecompromitteerd account niet overal bij kan. Bewaak uitgaande gegevensstromen op afwijkingen, aangezien exfiltratie vaak uren of dagen aan versleuteling voorafgaat. En stel nu, voordat je het nodig hebt, een incidentresponsplan op, zodat beslissingen over losgeldeisen niet onder druk worden genomen. Het volledige begrip van de ransomware-aanvalslevenscyclus, niet alleen het moment waarop bestanden worden vergrendeld, is wat organisaties die snel herstellen onderscheidt van degenen die dat niet doen.