De arrestatie van Monster Cloud-oprichter Zohar Pinhasi heeft een ongemakkelijk hoekje van de incident response-industrie in de schijnwerpers gezet. Volgens de berichtgeving draait de zaak van de gearresteerde ransomware-onderhandelaar Monster Cloud om claims dat het bedrijf in het geheim losgeld aan ransomware-operators betaalde voor decryptiesleutels en vervolgens zijn klanten factureerde alsof het herstelwerk zijn eigen werk was. De beschuldigingen zijn niet getoetst in de rechtbank, en dit bericht is alleen gebaseerd op de beperkte details die beschikbaar zijn in het bronrapport.

Waarvan Monster Cloud wordt beschuldigd

De beschuldiging is duidelijk. Slachtoffers van ransomware-aanvallen wendden zich tot Monster Cloud voor hulp bij het terugkrijgen van hun gegevens. In plaats van het herstel zelf uit te voeren, zou het bedrijf in het geheim de criminelen achter de aanval hebben betaald voor een decryptiesleutel en de klant vervolgens hebben gefactureerd voor wat eruitzag als een legitieme hersteldienst.

Het bronrapport geeft geen verdere details, zoals hoeveel klanten getroffen waren, hoeveel geld er van eigenaar wisselde, of welke aanklachten Pinhasi boven het hoofd hangen. Die hiaten zijn belangrijk, en lezers moeten voorzichtig zijn met cijfers of claims die verder gaan dan de basisbeschuldiging totdat meer informatie openbaar wordt gemaakt. Pinhasi is beschuldigd, niet veroordeeld.

Hoe slachtoffers twee keer worden uitgebuit bij ransomware-herstel

Het kernprobleem dat deze zaak aan het licht brengt, is de dubbele blootstelling van ransomware-slachtoffers. Ten eerste versleutelen de aanvallers systemen en eisen betaling. Ten tweede is in het hier beschuldigde scenario de tussenpersoon tot wie een slachtoffer zich wendt voor hulp degene die verbergt wat er werkelijk gebeurt.

Dit werkt omdat slachtoffers in een ransomware-crisis onder intense druk staan. Systemen liggen plat, medewerkers kunnen niet werken en klanten kunnen getroffen zijn. Weinig organisaties hebben de technische kennis om te beoordelen of een herstelclaim echt is. Ze vertrouwen op het woord van de leverancier en hebben vaak geen zicht op wat er achter de schermen gebeurt.

Als een leverancier een losgeld betaalt zonder de klant te vertellen, kunnen er verschillende dingen misgaan:

  • De klant kan geen weloverwogen beslissing nemen over de vraag of er überhaupt betaald moet worden.
  • De klant kan de betaling mogelijk niet correct verantwoorden in juridische, verzekerings- of regelgevende termen.
  • De eindfactuur weerspiegelt mogelijk niet wat er werkelijk is gedaan, waardoor de dienst lijkt op technische expertise terwijl het een doorgeefbetaling was.

Transparantie is de scheidslijn. Het betalen van losgeld is een juridische en ethische beslissing die aan het slachtoffer toebehoort, en die beslissing mag nooit in het geheim voor hen worden genomen.

Waarom losgeldbetalingen criminele groepen blijven financieren

Elke losgeldbetaling, of deze nu wordt onthuld of niet, stuurt geld naar de mensen die de aanval hebben uitgevoerd. Die opbrengsten betalen tools, infrastructuur en de volgende ronde slachtoffers. Wanneer betalingen via tussenpersonen worden geleid, wordt de stroom moeilijker zichtbaar, waardoor het voor slachtoffers, verzekeraars en autoriteiten moeilijker wordt om te begrijpen hoeveel er werkelijk wordt betaald.

Betalen biedt ook geen garantie op een schone uitkomst. De kosten kunnen ver uitstijgen boven de oorspronkelijke eis. Voor context over hoe duur afpersing kan worden, zie ons rapport over hoe Weil, WilmerHale en Goodwin naar verluidt ongeveer $50M hebben betaald bij cyberafpersing. Dat verhaal laat zien dat zelfs organisaties met veel middelen uiteindelijk zeer grote bedragen kunnen moeten betalen.

Wat u moet controleren voordat u een herstelleverancier of onderhandelaar inschakelt

Niets in deze zaak betekent dat elke onderhandelaar of herstelbedrijf onbetrouwbaar is. Maar het is een nuttige herinnering om directe vragen te stellen voordat u iets ondertekent. Overweeg deze controles:

  1. Vraag hoe betalingen worden afgehandeld. Een betrouwbare leverancier moet duidelijk aangeven of hij ooit namens u losgeld zal betalen, en alleen met uw expliciete schriftelijke goedkeuring.
  2. Eis gespecificeerde facturering. Facturen moeten het eigen werk van de leverancier scheiden van eventuele kosten van derden, inclusief eventuele betalingen aan aanvallers.
  3. Leg de scope schriftelijk vast. Het contract moet beschrijven welk herstelwerk wordt uitgevoerd en hoe succes wordt gemeten.
  4. Vraag om verifieerbare referenties. Spreek waar mogelijk met eerdere klanten en verifieer de credentials van het bedrijf onafhankelijk.
  5. Betrek uw verzekeraar en juridisch adviseur vroeg. Zij kunnen u helpen leveranciers te screenen en ervoor zorgen dat elke beslissing over betaling gedocumenteerd en rechtmatig is.
  6. Vraag bewijs van herstel. Vraag hoe de leverancier decryptiecapaciteit heeft verkregen en welke tests zijn uitgevoerd voordat u zich aan een tijdlijn committeert.

Wat dit voor u betekent

Als u een klein bedrijf runt, is de kans het grootst dat u druk voelt om het eerste hulpaanbod te accepteren. Mogelijk hebt u geen toegewijd beveiligingsteam of een vaste relatie met een incident response-bedrijf. Dat maakt het de moeite waard om een leverancier te kiezen vóór een crisis, niet tijdens een crisis.

Voor individuen en medewerkers is de les vergelijkbaar: wanneer een organisatie zegt dat gegevens zijn hersteld, is het redelijk om te vragen hoe. Wees alert op vervolgphishing of afpersingspogingen na elk incident, en wijzig inloggegevens die mogelijk zijn blootgesteld.

Belangrijkste punten

Het verhaal over de gearresteerde ransomware-onderhandelaar Monster Cloud is nog in ontwikkeling, en de beschuldigingen blijven onbewezen. Toch benadrukt het een praktisch risico: de mensen die u inhuurt om een crisis op te lossen, moeten net zo transparant zijn als u van elke aannemer zou verwachten. Dit moet u nu doen:

  • Screen elke herstelleverancier op duidelijk beleid rond losgeldbetalingen en gespecificeerde facturering.
  • Kies vooraf een incident response-provider en beoordeel het contract voordat u het nodig hebt.
  • Houd offline, geteste back-ups aan zodat u minder afhankelijk bent van decryptiesleutels.
  • Schakel multi-factor authenticatie in op e-mail, externe toegang en beheerdersaccounts.
  • Patch systemen die vanaf internet bereikbaar zijn tijdig.

Sterke preventie is de beste manier om te voorkomen dat u ooit in een positie terechtkomt waarin u een vreemde moet vertrouwen met een beslissing die zo kostbaar is.