Ransomware was vroeger een simpel, bruut probleem: aanvallers vergrendelden je bestanden en eisten betaling voor de sleutel. Tegenwoordig is het beeld complexer. Deze gids biedt een uitleg van dubbele afpersing ransomware voor algemene lezers, gebaseerd op een recent Japans commentaar van Masaya Kinoshita dat beschrijft hoe ransomware-schade steeds geavanceerder en ernstiger is geworden.

Het centrale punt is dat de mainstream-tactiek nu "dubbele afpersing" is. Aanvallers versleutelen niet alleen gegevens. Ze stelen ook informatie en dreigen die te lekken als niet aan hun eisen wordt voldaan. Die verschuiving verandert wat verdediging betekent, voor organisaties en voor de individuen wier gegevens die organisaties beheren.

Hoe dubbele afpersing werkt

Bij een klassieke ransomware-aanval versleutelen de criminelen de bestanden van een slachtoffer en eisen geld voor ontsleuteling. De belangrijkste vraag van het slachtoffer is of ze hun systemen kunnen herstellen.

Dubbele afpersing voegt een tweede hefboom toe. Vóór of tijdens het versleutelen kopiëren de aanvallers gevoelige informatie uit het netwerk van het slachtoffer. Vervolgens presenteren ze twee dreigementen tegelijk:

  • Betaal, of je systemen blijven vergrendeld.
  • Betaal, of je gestolen gegevens worden gepubliceerd.

Het commentaar beschrijft dit als de mainstream-aanpak, niet als iets exotisch. Het tweede dreigement is wat de tactiek zo effectief maakt. Zelfs een slachtoffer met een perfect herstelplan wordt nog steeds geconfronteerd met het vooruitzicht dat klantgegevens, personeelsgegevens of interne documenten openbaar worden.

Waarom back-ups alleen het probleem niet meer oplossen

Het back-uppen van gegevens blijft essentieel. De bron benadrukt het zorgen voor robuuste back-ups als een van de specifieke maatregelen die organisaties moeten nemen, omdat goede back-ups een slachtoffer in staat stellen de bedrijfsvoering te herstellen zonder te betalen voor een ontsleutelingssleutel.

Maar back-ups vormen alleen een antwoord op de versleutelingsdreiging. Ze doen niets aan gestolen kopieën. Het herstellen van je bestanden vanuit een schone back-up haalt je gegevens niet terug van de server van een aanvaller. Zodra informatie is geëxfiltreerd, heeft het slachtoffer de controle verloren over wie het ziet, en de criminelen weten dat.

Daarom combineert de bron back-ups met andere maatregelen, zoals multi-factor authenticatie. Voorkomen dat aanvallers binnenkomen, of dat ze vrij kunnen bewegen zodra ze binnen zijn, is de enige manier om diefstal in de eerste plaats te voorkomen. Back-ups zijn een hersteltool, geen preventietool.

Wat leaksites zoals RansomHouse betekenen voor je persoonlijke gegevens

De druk achter dubbele afpersing wordt vaak publiekelijk uitgeoefend. De bron verwijst naar een site genaamd RansomHouse, een voorbeeld van de leaksites waar afpersingsgroepen slachtoffers noemen en dreigen gestolen materiaal vrij te geven of daadwerkelijk publiceren. De video die in het commentaar wordt besproken, belicht dit soort sites als onderdeel van de huidige dreiging.

Voor gewone mensen is het belangrijkste punt dat je getroffen kunt worden zonder ooit het doelwit te zijn. Als een bedrijf, kliniek, school of leverancier die jouw informatie beheert wordt gehackt, kan jouw data deel uitmaken van wat wordt gestolen. Een vermelding op een leaksite is een teken dat de groep druk uitoefent op de organisatie, niet een bewijs dat de bewering juist is. Zo merkt onze berichtgeving over de Everest ransomware-vermelding van Capgemini Engineering op dat dergelijke claims doorgaans niet geverifieerd zijn op het moment dat ze verschijnen.

Een recent voorbeeld van dit patroon is de Uber Freight-dataplek, waarbij de Helix-groep bijna 1 miljoen bestanden claimde nadat het bedrijf op hun dark web-leaksite was vermeld. Het bedrijf zei een databeveiligingsincident te onderzoeken. Als je wilt begrijpen waar gestolen informatie vervolgens naartoe gaat, behandelt onze uitleg over wat er met je gegevens gebeurt na een dataplek de kettingreactie die kan volgen.

Wat dit voor jou betekent

De meeste lezers runnen geen bedrijfsnetwerk, maar je maakt toch deel uit van het verhaal van dubbele afpersing. Jouw gegevens leven in de systemen van anderen, en je kunt hun beveiliging niet controleren. Wat je wel kunt controleren, is hoeveel schade een lek jou berokkent.

Een gepubliceerde of verkochte set persoonlijke gegevens kan phishing, pogingen tot accountovername en impersonatie voeden. Het hergebruiken van wachtwoorden maakt dit erger, omdat één gelekt inloggegeven meerdere accounts kan openen. Het goede nieuws is dat een handvol gewoonten de gevolgen sterk beperkt.

Praktische stappen voor individuen en kleine organisaties

Voor individuen:

  • Gebruik een uniek wachtwoord voor elk account, opgeslagen in een wachtwoordmanager.
  • Schakel multi-factor authenticatie in waar het wordt aangeboden, te beginnen met e-mail, bankieren en cloudopslag.
  • Wees sceptisch over onverwachte berichten die verwijzen naar je echte gegevens, want gelekte data maakt oplichting overtuigender.
  • Als je op de hoogte wordt gesteld van een dataplek, wijzig dan onmiddellijk het getroffen wachtwoord en alle andere die daarmee overeenkwamen.
  • Deel alleen de persoonlijke informatie die een dienst echt nodig heeft.

Voor kleine organisaties:

  • Zorg voor robuuste back-ups en bewaar ten minste één kopie offline of gescheiden van je hoofdnetwerk, zodat aanvallers deze niet ook kunnen versleutelen.
  • Verplicht multi-factor authenticatie voor medewerkers, vooral voor externe toegang en beheerdersaccounts.
  • Verzamel en bewaar minder gevoelige gegevens. Informatie die je niet bezit, kan niet worden gestolen.
  • Bereid een incidentplan voor dat gegevensdiefstal dekt, niet alleen systeemherstel, inclusief wie je zou informeren.

Belangrijkste punten

Dubbele afpersing ransomware in begrijpelijke taal begrijpen komt neer op één idee: versleuteling is de zichtbare aanval, en diefstal is de blijvende. Back-ups beschermen je bedrijfsvoering, maar alleen preventie, zoals multi-factor authenticatie en het beperken van welke gegevens worden opgeslagen, vermindert de kans op een lek.

Om te zien wat er doorgaans gebeurt nadat informatie is gestolen, lees onze gids over wat er met je gegevens gebeurt na een dataplek, en bekijk het Uber Freight en Helix-rapport als een recent voorbeeld van een leaksite-afpersingsvermelding. Neem dan vandaag nog tien minuten om multi-factor authenticatie in te schakelen voor je belangrijkste accounts.