Intel 471: Ransomwarebendes beoordelen omzet vóór onderhandelingen

Ransomware-onderhandelingen riepen vroeger beelden op van een enkele operator achter een toetsenbord, wachtend tot een slachtoffer contact opneemt. Volgens nieuwe bevindingen van dreigingsinformatiebedrijf Intel 471 is dat beeld achterhaald. Ransomwareteams behandelen onderhandelingen nu als een bemand bedrijfsproces, compleet met onderzoek naar de omzet en verzekeringsdekking van een slachtoffer voordat er ook maar een losgeldbedrag wordt genoemd. Voor middelgrote organisaties reiken de implicaties veel verder dan de omvang van een eisbrief.

Ransomware-onderhandelingen zijn een gestructureerde functie geworden

Het onderzoek van Intel 471 beschrijft een verschuiving waarbij losgeldeisen niet langer willekeurige bedragen zijn die uit een lijst met 'grote bedrijven'-doelen worden gehaald. In plaats daarvan lijken aanvallers bewust due diligence uit te voeren, waarbij ze inlichtingen verzamelen over de financiële positie en cyberverzekeringspolis van een slachtoffer voordat ze een prijs vaststellen. Dit weerspiegelt een bredere trend die in het hele ransomware-ecosysteem is gedocumenteerd, waarbij operaties steeds meer op commerciële ondernemingen met duidelijk gedefinieerde rollen gaan lijken, van toegangsbemiddelaars tot onderhandelaars. Berichtgeving over ransomware als bedrijfsmodel heeft al in kaart gebracht hoe ransomware-as-a-service-groepen bijna elke fase van een aanval hebben geprofessionaliseerd, en onderhandelingen lijken nu de nieuwste functie te zijn die deze behandeling krijgt.

Het praktische effect is dat losgeldeisen kunnen worden afgestemd op wat een specifieke organisatie aannemelijk kan betalen, in plaats van een vast tarief per sector. Een bedrijf met een grote uitkering uit een verzekering beschikbaar kan te maken krijgen met een hoger openingsbedrag dan een bedrijf zonder dekking. Die kalibratie vereist onderzoek, en onderzoek vereist gegevens, en dat is waar privacykwesties een rol gaan spelen.

Waarom dit belangrijk is voor privacy, niet alleen voor financiën

Op het eerste gezicht lijkt dit een financieel en operationeel verhaal: ransomwarebendes maximaliseren hun hefboomwerking door te begrijpen wat een slachtoffer kan betalen. Maar de onderliggende mechanismen hebben echte privacy-implicaties. Om de omzet en verzekeringsstatus te beoordelen, moeten aanvallers vóór of tijdens een inbraak informatie over een bedrijf verzamelen, vaak uit dezelfde systemen en bestanden die ze in gevaar brengen. Dat betekent dat financiële gegevens, verzekeringscorrespondentie en interne communicatie onderdeel worden van de verkenning die aanvallers tegen de organisatie gebruiken, niet alleen gegevens die later mogelijk worden gelekt.

Dit raakt ook aan tactieken die het afpersingslandschap al hervormen. Er is gedocumenteerd dat groepen slachtoffers steeds kortere termijnen geven om te reageren, een druktactiek die is onderzocht in berichtgeving over waarom ransomwarebendes slachtoffers nu slechts zeven dagen geven om een beslissing te nemen. Wanneer een onderhandelingsteam al weet wat een slachtoffer zich kan veroorloven en hoe snel ze het incident moeten oplossen, wordt die verkorte tijdlijn een instrument om een maximale betaling te verkrijgen in plaats van een bijproduct van crimineel ongeduld. Daarnaast heeft berichtgeving over de verborgen kosten van AI-gestuurde afpersing aangetoond dat het losgeldbedrag zelf vaak slechts één regelpost is in de totale schade die een slachtoffer oploopt, naast juridische blootstelling, wettelijke meldingen en reputatieschade.

Wat dit voor u betekent

Voor middelgrote organisaties in het bijzonder verandert het model van onderzochte onderhandelingen de calculatie rond paraatheid bij incidenten. Veel middelgrote bedrijven gaan ervan uit dat ransomwaregroepen hen opportunistisch targeten en elk slachtoffer hetzelfde behandelen. De bevindingen van Intel 471 suggereren het tegendeel: als aanvallers omzet en verzekeringsstatus in kaart brengen voordat ze een prijs noemen, kunnen middelgrote bedrijven met zichtbare verzekeringsdekking of openbare financiële openbaarmakingen net zo zorgvuldig worden beoordeeld als grotere ondernemingen, zelfs als de uiteindelijke eis lager wordt geschaald.

Dit heeft ook beleidsimplicaties. Nu onderhandelingen aan de kant van de aanvaller steeds berekender worden, beginnen sommige overheden te overwegen of slachtoffers überhaupt mogen onderhandelen of betalen. Lopende discussies in berichtgeving over overheden die ransomware-betaalverboden overwegen weerspiegelen een groeiende erkenning dat het onderhandelingsproces zelf geavanceerd genoeg is geworden om regelgevende aandacht te rechtvaardigen, niet alleen technische verdediging.

Praktische adviezen

Organisaties, met name middelgrote bedrijven die denken dat ze onder de radar vliegen, moeten deze verschuiving beschouwen als een reden om nu, vóór een incident, het plan voor incidentrespons opnieuw te bekijken. Een paar concrete stappen kunnen helpen:

• Inventariseer wie intern toegang heeft tot financiële gegevens en verzekeringsdocumentatie, en beperk de blootstelling van die informatie op gedeelde schijven of gemakkelijk bereikbare systemen.
• Zorg dat u klaar bent voor ransomware-onderhandelingen.
• Bevestig dat cyberverzekeringsgegevens veilig worden opgeslagen en niet gemakkelijk te ontdekken zijn door een indringer in de vroege stadia van een datalek.
• Oefen tabletop-oefeningen die ervan uitgaan dat aanvallers uw omzet en dekkingslimieten al kennen, niet alleen dat ze uw bestanden hebben versleuteld.
• Blijf op de hoogte van evoluerende onderhandelingspraktijken rond ransomware, aangezien tactieken blijven verschuiven naarmate aanvallers hun operaties professionaliseren.

Ransomware-onderhandelingen zijn geen geïmproviseerd gesprek meer tussen een slachtoffer en een anonieme aanvaller. Het is een bemand, onderzocht bedrijfsproces, en organisaties die deze verschuiving begrijpen, zijn beter gepositioneerd om rustig en effectief te reageren wanneer ze zich aan de andere kant van de tafel bevinden.