Ransomwareslachtoffers die betalen in de hoop dat het probleem verdwijnt, komen vaak bedrogen uit. Een nieuw wereldwijd onderzoek, het AI-Era Ransomware Report, ondervroeg bijna 1.000 beveiligingsprofessionals in 12 markten en ontdekte dat het betalen van losgeld verre van een gegarandeerde oplossing is. De bevindingen geven nieuw gewicht aan een waarschuwing die beveiligingsonderzoekers al jaren herhalen: herhaalde afpersingsbetalingen bij ransomware zijn een reëel en groeiend risico, geen zeldzaam randgeval.

Wat het AI-Era Ransomware Report ontdekte

Het onderzoek schetst een ontnuchterend beeld van hoe organisaties reageren zodra ransomware toeslaat. Meer dan de helft van de organisaties die een aanval ondergingen, 54%, betaalde uiteindelijk losgeld in een poging hun gevoelige gegevens te herstellen. Van degenen die betaalden, herkreeg 56% daadwerkelijk toegang tot hun bestanden of systemen. Maar het zorgwekkendere getal is wat daarna gebeurde: meer dan een derde van de slachtoffers, 37%, ontving een tweede afpersingsverzoek nadat ze het eerste al hadden betaald.

Alleen al die statistiek zou moeten veranderen hoe organisaties denken over ransomware-respons. Betalen is geen eenmalige transactie die het incident afsluit. Voor meer dan een derde van de slachtoffers in dit onderzoek was het simpelweg de openingszet in een langer, kostbaarder cyclus.

Waarom betalen geen veiligheid of gegevensherstel garandeert

Het is de moeite waard om hier even bij de cijfers stil te staan. Zelfs onder organisaties die betaalden, herstelde bijna de helft hun gegevens toch niet volledig. En een groot deel van degenen die hun bestanden wel terugkregen, werd vervolgens opnieuw geviseerd, hetzij door dezelfde aanvaller die meer geld eiste, hetzij door een andere groep die de betaling zag als bewijs dat het slachtoffer bereid was te onderhandelen.

Dit patroon sluit aan bij ander recent onderzoek. Een Proofpoint-enquête die door vpn.social is behandeld vond vergelijkbaar dat het betalen van ransomware-bendes vaak averechts werkt, waarbij een aanzienlijk deel van de betalende slachtoffers te maken krijgt met hernieuwde afpersingspogingen. Zodra een organisatie betaalt, kan deze op een lijst van bevestigde betalers terechtkomen, informatie die circuleert onder criminele groepen en die organisatie een aantrekkelijker doelwit maakt voor toekomstige aanvallen, niet minder aantrekkelijk.

Er is ook geen afdwingbaar contract in een ransomware-onderhandeling. Aanvallers hebben geen juridische of reputatiegerelateerde motivatie om hun deel van de deal na te komen zodra het geld is overgemaakt. Decoderingssleutels kunnen onvolledig zijn, fouten bevatten of simpelweg nooit worden geleverd. De gegevens die zijn gestolen en als hefboom gebruikt, kunnen nog steeds worden verkocht, gelekt of worden vastgehouden voor een tweede ronde van afpersing, ongeacht wat er is beloofd.

De preventie-alternatieven: Back-ups, encryptie en netwerksegmentatie

Gezien die kansen is de veerkrachtigere strategie om de kans te verkleinen dat je ooit moet beslissen of je betaalt in de eerste plaats. Een paar praktijken blijken consequent effectieve verdedigingen te zijn:

  • Onderhoud offline, geteste back-ups. Back-ups die zijn losgekoppeld van het hoofdnetwerk en regelmatig worden getest op herstel, betekenen dat een organisatie kan herstellen zonder met een aanvaller te onderhandelen.
  • Versleutel gevoelige gegevens in rust en tijdens transport. Zelfs als aanvallers bestanden exfiltreren, beperkt sterke encryptie wat ze daadwerkelijk kunnen gebruiken of verkopen, waardoor de hefboom achter een datalekdreiging wordt verminderd.
  • Segmenteer netwerken. Het verdelen van systemen in geïsoleerde zones beperkt hoe ver ransomware zich kan verspreiden zodra het een eerste voet aan de grond krijgt, waardoor de schade wordt beperkt tot een kleiner deel van de organisatie.
  • Patch en monitor consistent. Veel ransomware-indringingen maken nog steeds gebruik van bekende, niet-gepatchte kwetsbaarheden of zwakke inloggegevens voor externe toegang, dus basishygiëne sluit een groot deel van de toegangspunten af.

Geen van deze maatregelen maakt een organisatie immuun voor aanvallen, maar samen verkleinen ze zowel de kans op een succesvolle inbreuk als de druk om te betalen als er toch een plaatsvindt.

Een incidentresponsplan opbouwen voordat een aanval plaatsvindt

De organisaties die het er na een ransomware-incident het beste vanaf brengen, zijn doorgaans degenen die hun respons al hadden geoefend voordat de aanval plaatsvond. Dat betekent een gedocumenteerd plan dat vastlegt wie de beslissing neemt over al dan niet betalen, welke juridische en wetshandhavingscontacten worden geïnformeerd, hoe communicatie met medewerkers en klanten wordt afgehandeld, en hoe systemen worden geïsoleerd en hersteld.

Het uitvoeren van tabletop-oefeningen, waarbij personeel een gesimuleerd aanvalscenario doorloopt, helpt om hiaten in het plan bloot te leggen terwijl er geen echte druk op de lijn staat. Het versnelt ook de daadwerkelijke respons wanneer een incident zich voordoet, waardoor het blootstellingsvenster wordt verkort en de verleiding om te betalen simpelweg omdat er geen ander alternatief klaarlijkt, wordt verminderd.

Wat dit voor jou betekent

Voor IT-leiders en beveiligingsteams is dit rapport een herinnering dat herhaalde afpersingsbetalingen bij ransomware vaak genoeg voorkomen om in de planning op te nemen, en geen worst-case uitzondering zijn. Behandel een losgeldbetaling als een laatste redmiddel met een reële kans op falen, niet als een betrouwbare verzekeringspolis. Begroot voor preventie (back-ups, segmentatie, monitoring) op dezelfde manier als je voor andere kerninfrastructuurkosten zou begroten, omdat de cijfers suggereren dat dit op de lange termijn goedkoper is dan herhaalde onderhandelingen met aanvallers.

Voor individuele gebruikers en kleinere organisaties zonder een toegewijd beveiligingsteam gelden dezelfde principes op kleinere schaal: houd een offline kopie van alles wat onvervangbaar is, gebruik encryptie waar beschikbaar, en weet van tevoren wie je zou bellen als je systemen ooit zouden worden vergrendeld.

Belangrijkste punten

  • 54% van de ondervraagde organisaties die een ransomware-aanval ondergingen, betaalde het losgeld, maar slechts 56% van de betalers herkreeg volledig toegang tot hun gegevens.
  • 37% van de organisaties die betaalden, werd getroffen door een tweede afpersingsverzoek, wat aantoont dat betalen het risico niet beëindigt.
  • Offline back-ups, encryptie en netwerksegmentatie verminderen zowel de kans op een succesvolle aanval als de druk om te betalen.
  • Een getest incidentresponsplan, opgebouwd voordat een aanval plaatsvindt, verkort de hersteltijd en vermindert de afhankelijkheid van losgeldbetalingen.
  • Lezers kunnen de Proofpoint-enquêtebevindingen raadplegen voor aanvullende bevestigende gegevens over hoe vaak losgeldbetalingen er niet in slagen een aanval op te lossen.