Waarom 1 op de 5 losgeldbetalingen nog steeds eindigt in verraad

Nieuw-Zeelandse bedrijven die overwegen een losgeldeis te betalen, hebben er een ontnuchterend gegeven bij gekregen. Volgens rapportages over welke Nieuw-Zeelandse bedrijven het vaakst doelwit zijn van ransomware-hackers, kreeg 80% van de slachtoffers die betaalden een werkende ontsleutelingssleutel en werden hun gestolen gegevens niet gelekt zoals beloofd. Dat klinkt geruststellend totdat je het getal omdraait: in één op de vijf gevallen betaalden slachtoffers en kregen ze niets. Geen sleutel, geen verwijderde bestanden, geen nagekomen deal.

Dit is de ongemakkelijke kern van de risico's van losgeldbetalingen bij ransomware. Het hele afpersingsmodel is afhankelijk van het geloof van slachtoffers dat criminelen zich aan hun woord zullen houden, omdat een reputatie van betrouwbaarheid ervoor zorgt dat toekomstige slachtoffers blijven betalen. Maar reputatie onder criminele groepen is geen wettelijk contract, en uit de rapportage blijkt duidelijk dat sommige aanvallers gewoon het geld aannemen en verdwijnen, of erger, terugkomen voor meer.

Hoe ransomware-groepen slachtoffers targeten en opnieuw afpersen

Een van de meer verontrustende details in het rapport betreft een groep genaamd SpaceBears, die naar verluidt slachtoffers opnieuw afperste die al eens losgeld hadden betaald. In plaats van een betaling te zien als het einde van een incident, stonden deze slachtoffers weer aan het begin, geconfronteerd met een tweede eis voor dezelfde gestolen gegevens. Deze tactiek ondermijnt de basisveronderstelling dat betalen het probleem oplost. Als een criminele groep je gegevens heeft, garandeert een eenmalige betaling niet dat deze uit hun bezit verdwijnen of uit het bezit van iemand aan wie ze ze later verkopen.

Ransomware-groepen richten zich meestal op organisaties waarvan ze denken dat ze eerder snel zullen betalen, vaak omdat de kosten van stilstand of reputatieschade zwaarder wegen dan het losgeld zelf. De herstelkosten na een aanval zijn consistent hoog en omvatten forensisch onderzoek, wederopbouw van systemen, juridisch advies en mogelijke wettelijke rapportageverplichtingen. Die financiële druk is precies waar aanvallers op rekenen wanneer ze hun prijs en deadline bepalen.

Blootstelling verminderen: basisprincipes van gegevensbescherming en beveiligingshygiëne

Aangezien zelfs een geslaagde betaling ongeveer 20% kans op mislukking met zich meebrengt, en sommige groepen slachtoffers mogelijk twee keer uitbuiten, is de duurzamere strategie het verkleinen van de kans op een succesvolle aanval in de eerste plaats. Dit begint met elementaire maar vaak verwaarloosde beveiligingshygiëne: regelmatige offline of onveranderlijke back-ups waar ransomware niet bij kan, tijdig patchen van bekende kwetsbaarheden, multifactor-authenticatie op alle toegangspunten op afstand en netwerksegmentatie zodat een enkel gecompromitteerd account niet kan uitmonden in een volledige versleutelingsgebeurtenis.

Dataminimalisatie is net zo belangrijk als technische verdediging. Organisaties die minder gevoelige gegevens opslaan, ze korter bewaren en versleutelen wat ze bewaren, geven aanvallers minder invloed, zelfs als er een inbreuk plaatsvindt. Dit is ook waar het begrijpen van VPN-jurisdictie relevant wordt voor bedrijven en individuen die gevoelig verkeer verwerken. Het land waar een dienstverlener juridisch is gevestigd, bepaalt welke gegevens hij kan worden gedwongen te overhandigen en welke juridische stappen slachtoffers kunnen ondernemen als er iets misgaat. Het kiezen van tools en leveranciers met een duidelijke, gunstige jurisdictiepositie maakt deel uit van een bredere verdedigingshouding, geen aparte zorg ten opzichte van ransomware-preventie.

Bredere discussies over digitaal beleid in Nieuw-Zeeland raken ook aan dit probleem. Zoals de discussies over Nieuw-Zeelandse plannen voor leeftijdsverificatie laten zien, debatteert het land actief over hoeveel persoonlijke gegevens platforms en toezichthouders moeten verzamelen en bewaren. Elke nieuwe verzameling opgeslagen persoonlijke informatie is een potentieel ransomware-doelwit, wat dataminimalisatie zowel tot een vraagstuk van openbaar beleid als van bedrijfsbeleid maakt.

Wat dit betekent voor bedrijven en gewone gebruikers

Voor Nieuw-Zeelandse bedrijven is de conclusie niet dat het betalen van losgeld altijd zinloos is. Het cijfer van 80% toont aan dat aanvallers vaak wel leveren. Maar betaling behandelen als een betrouwbare verzekeringspolis is een fout die de gegevens niet ondersteunen. Een faalkans van één op vijf, gecombineerd met gedocumenteerde gevallen van herhaalde afpersing, betekent dat betaling een laatste redmiddel moet zijn dat wordt afgewogen tegen juridische, financiële en reputatiefactoren, niet een standaardreactie die in een incidentresponsplan is ingebakken.

Voor gewone gebruikers is de les op kleinere schaal vergelijkbaar. Persoonlijke back-ups, unieke wachtwoorden en voorzichtig omgaan met e-mailbijlagen en links blijven de goedkoopste en effectiefste verdediging tegen de ransomware die uiteindelijk via phishingcampagnes bij individuen terechtkomt. Herstel achteraf, of je nu een groot bedrijf of een thuisgebruiker bent, is duur en onzeker vergeleken met preventie.

Belangrijkste punten

  • Ongeveer 20% van de ransomware-slachtoffers die betalen, krijgt er niets voor terug, ondanks beloften van ontsleutelingssleutels en gegevensverwijdering.
  • Sommige ransomware-groepen, waaronder SpaceBears, hebben slachtoffers die al eens hadden betaald opnieuw afgeperst.
  • Betrouwbare offline back-ups en sterke toegangscontroles verminderen de afhankelijkheid van losgeldbetalingen volledig.
  • Dataminimalisatie en bewustzijn van de jurisdictie van aanbieders verkleinen de invloed die aanvallers over je kunnen uitoefenen.
  • Risico's van losgeldbetalingen bij ransomware moeten worden meegenomen in de incidentresponsplanning van elke organisatie, niet alleen de directe kosten van de eis.

Het begrijpen van de risico's van losgeldbetalingen bij ransomware komt er uiteindelijk op neer dat je inziet dat preventie, back-updiscipline en zorgvuldige gegevensbehandeling meer zekerheid bieden dan erop vertrouwen dat een criminele onderneming haar kant van een afpersingsovereenkomst nakomt.