Toen wetshandhaving achter de schermen keek

In februari 2024 ontmantelde een coalitie van internationale wetshandhavingsinstanties de infrastructuur achter LockBit, een van de meest productieve ransomware-operaties in de recente herinnering. Wat onderzoekers vonden toen ze toegang kregen tot de systemen van LockBit, was meer dan alleen bewijs van criminele activiteit. Ze ontdekten dat de groep kopieën van gestolen slachtoffergegevens had bewaard, zelfs nadat ze die slachtoffers, vaak in ruil voor betaling, hadden verteld dat de gegevens waren verwijderd.

Dit ene detail is veel belangrijker dan het op het eerste gezicht lijkt. Jarenlang bevatte het standaard draaiboek voor organisaties die door ransomware zijn getroffen een stille, ongemakkelijke optie: betaal het losgeld, krijg een verwijderingsbelofte van de aanvaller en ga verder. De onthulling van LockBit bevestigt wat veel beveiligingsonderzoekers al lang vermoedden. Die belofte is vaak waardeloos, en slachtoffers hebben vaak geen manier om dat te weten.

De kloof tussen wat slachtoffers te horen krijgen en wat er werkelijk gebeurt

Ransomware-onderhandelingen vinden doorgaans buiten het publieke oog plaats, bemiddeld door incident response-bedrijven, verzekeraars of de slachtofferorganisaties zelf. Wanneer een criminele groep beweert gestolen bestanden te hebben verwijderd, is er zelden een onafhankelijke manier om die bewering te verifiëren. Slachtoffers wordt in wezen gevraagd te vertrouwen op het woord van dezelfde actor die inbrak in hun systemen en hun gegevens stal.

De LockBit-zaak laat zien waarom dat vertrouwen misplaatst is. Zelfs wanneer een criminele onderneming geavanceerd genoeg is om een functionerende "klantenservice" voor haar slachtoffers te runnen, compleet met onderhandelingsportalen en verwijderingscertificaten, ontbreekt de onderliggende prikkel om waardevolle gestolen gegevens daadwerkelijk te vernietigen eenvoudigweg. Gegevens hebben doorverkoopwaarde, drukmiddelwaarde en toekomstige afpersingswaarde. Het verwijderen ervan druist in tegen het eigenbelang van de aanvaller.

Deze ontkoppeling haalt zelden de krantenkoppen zoals een aankondiging van een datalek dat doet. Bedrijven die stilletjes betalen om een probleem te laten verdwijnen, hebben weinig reden om te publiceren dat de verwijderingsbelofte niet is nagekomen, vooral als ze er nooit achter komen. Die stilte is een deel van de reden waarom nadelige uitkomsten vaker voorkomen dan het publieke dossier suggereert. Het neerhalen van de LockBit-infrastructuur is een van de weinige gevallen waarin de kloof tussen belofte en werkelijkheid überhaupt zichtbaar werd, op dezelfde manier waarop Google's verstoring van een CCP-gelinkt hackernetwerk het doek optrok voor activiteiten die anders verborgen zouden zijn gebleven voor de getroffen organisaties.

Waarom dit moet veranderen hoe organisaties over ransomware denken

De praktische conclusie is niet dat betalen van losgeld altijd de verkeerde keuze is. Voor elk incident spelen er eigen juridische, operationele en financiële druk, en sommige organisaties kunnen nog steeds besluiten dat betalen de minst slechte optie is. De conclusie is dat betaling nooit mag worden behandeld als een oplossing voor een gegevensblootstellingsprobleem.

Zodra gegevens de controle van een organisatie verlaten, moeten ze als permanent gecompromitteerd worden beschouwd, ongeacht eventuele verzekeringen die volgen. Dat betekent dat meldingsplichten, communicatie met klanten en risicobeoordelingen moeten doorgaan alsof de gestolen gegevens nog steeds circuleren, want dat is goed mogelijk. Cyberverzekeringspolissen en incident response-plannen die uitgaan van een schone oplossing na betaling, zijn gebouwd op een achterhaalde en in toenemende mate in diskrediet gebrachte premisse.

Wat dit voor u betekent

Voor individuen van wie de gegevens mogelijk betrokken zijn geweest bij een datalek in verband met een ransomware-aanval, is de LockBit-onthulling een herinnering om niet je hoede te laten zakken alleen omdat een bedrijf aankondigt dat het incident is "opgelost". Een verwijderingsbelofte van criminelen is geen garantie, en uw informatie kan nog lang nadat de krantenkoppen vervagen, blootgesteld blijven.

Voor bedrijven, met name kleine en middelgrote zonder toegewijde beveiligingsteams, is dit een stem voor preventie boven onderhandeling. Sterke back-uppraktijken, netwerksegmentatie en basale endpoint-hygiëne verkleinen de kans dat u ooit in een positie verkeert waarin u op het woord van een afperser vertrouwt. Evalueren hoe persoonlijke en professionele accounts worden beschermd, inclusief of gevoelig verkeer via beveiligde verbindingen wordt geleid, is een redelijke plek om te beginnen; sommige organisaties kijken naar opties zoals die op pagina's die aanbieders vergelijken, zoals IVPN of Mozilla VPN, als onderdeel van een bredere inspanning om blootstelling te verminderen, hoewel geen enkel instrument een volledige beveiligingsstrategie vervangt.

Uitvoerbare inzichten

  • Ga ervan uit dat alle gegevens die worden gestolen tijdens een ransomware-incident voor onbepaalde tijd risico lopen, zelfs als er een verwijderingsbelofte wordt gedaan.
  • Laat een losgeldbetaling niet in de plaats komen van een volledige datalekmelding en klantbeschermingsmaatregelen.
  • Geef prioriteit aan back-ups en netwerksegmentatie, zodat het betalen van aanvallers nooit de enige optie op tafel is.
  • Als u bericht krijgt dat uw gegevens betrokken waren bij een datalek, controleer dan uw accounts en kredietrapporten nog lang na de eerste aankondiging.
  • Dring aan op transparantie van elke organisatie die uw gegevens verwerkt over hoe zij reageert op ransomware-incidenten, niet alleen of er is betaald.

De LockBit-overname bood een zeldzame, ongefilterde inkijk in hoe cyberafpersing werkelijk verloopt zodra de criminelen de controle over het verhaal niet langer hebben. Het behandelen van verwijderingsbeloften als feiten, in plaats van als ongeverifieerde beweringen van een vijandige actor, heeft te veel slachtoffers een vals gevoel van afsluiting gegeven. Sceptisch blijven en voorbereid blijven, blijft de betere langetermijnstrategie.