Wat Proofpoints studie aantoonde over herhaalaanvallen

Een nieuwe studie van cybersecuritybedrijf Proofpoint bezorgt organisaties die ransomwarebetalingen als een snelle oplossing beschouwen een ontnuchterende realiteitscheck. Volgens het onderzoek werd meer dan een derde van de bedrijven die een losgeld hadden betaald later het doelwit van een secundaire afpersingspoging. Met andere woorden: de cheque uitschrijven sluit het incident niet af; voor een groot deel van de slachtoffers opent het slechts een nieuw hoofdstuk.

Deze bevinding is belangrijk omdat ze een veelvoorkomende aanname in crisissituaties binnen directiekamers ter discussie stelt: dat betalen de snelste manier is om het probleem te laten verdwijnen. De data van Proofpoint wijzen op het tegendeel. Zodra een bedrijf laat zien dat het bereid is te betalen, kan het een herhaaldelijk doelwit worden, zowel voor de oorspronkelijke aanvaller als voor een andere groep die heeft vernomen dat de organisatie een makkelijk slachtoffer is.

Waarom losgeld betalen geen garantie biedt op dataveiligheid

De kern van het probleem dat Proofpoint benadrukt, is dat losgeldonderhandelingen gebaseerd zijn op vertrouwen in criminelen die geen enkele bindende verplichting hebben om hun deel van de afspraak na te komen. Betalen om versleutelde bestanden te ontsleutelen, garandeert niet dat gestolen gegevens niet al elders zijn gekopieerd, en voorkomt evenmin dat aanvallers toegangsgegevens, netwerkkaarten of buitgemaakte bestanden doorverkopen aan andere criminele groeperingen.

Dit is het mechanisme achter de cyclus van herhaalde afpersing die de studie beschrijft. Moderne ransomware-operaties leunen steeds vaker op dubbele afpersing: systemen versleutelen en tegelijkertijd gevoelige gegevens stelen voordat er losgeld wordt geëist. Zelfs als de ontsleutelingssleutel zoals beloofd wordt geleverd, blijft de gestolen data een risico. Ze kan worden gebruikt voor een tweede afpersingsronde, verhandeld op criminele marktplaatsen, of worden ingezet door een geheel andere dreigingsactor die de toegang van de oorspronkelijke aanvaller koopt. De betaling lost de directe uitval op, maar doet niets om de onderliggende blootstelling van de gegevens van de organisatie aan te pakken.

De groeiende dreiging voor kleine en middelgrote bedrijven

Hoewel grote ondernemingen van oudsher de ransomwarekoppen domineren, komen kleine en middelgrote bedrijven steeds vaker in het vizier, vaak omdat ze minder middelen hebben om te investeren in detectie, respons en herstel. Deze organisaties kunnen bijzonder kwetsbaar zijn voor het patroon van herhaalde afpersing dat Proofpoint beschrijft, omdat een enkele succesvolle betaling hen kan markeren als zowel bereid als in staat om opnieuw te betalen.

Deze dynamiek speelt zich al af bij ransomware-as-a-service-operaties die zich specifiek richten op kleinere organisaties. Zoals beschreven in de berichtgeving over de ransomwarebendes Qilin en The Gentlemen die hun aanvallen op het mkb opvoeren, wedijveren deze groepen om de macht door zich te concentreren op bedrijven die mogelijk niet beschikken over de onderhandelingservaring, juridische bijstand of incident-responsinfrastructuur die grotere bedrijven kunnen inzetten. Wanneer een kleiner bedrijf eenmaal betaalt, heeft het wellicht niet de middelen om zijn beveiligingspositie daarna fundamenteel te veranderen, waardoor dezelfde kwetsbaarheden open blijven voor een volgende poging.

Uw risico verlagen: back-ups, versleuteling en incidentplanning

De bevindingen van Proofpoint onderstrepen een boodschap die beveiligingsprofessionals al jaren herhalen: preventie en voorbereiding wegen zwaarder dan onderhandelen. Enkele praktische stappen kunnen zowel de kans op een aanval als de schade ervan aanzienlijk verkleinen.

Ten eerste: onderhoud offline of onveranderlijke back-ups die regelmatig worden getest. Een losgeldbetaling wordt vaak de enige optie wanneer back-ups ontbreken, verouderd zijn of zelf tijdens de aanval zijn versleuteld. Ten tweede: versleutel gevoelige gegevens zowel in rust als tijdens transport, zodat de gestolen data zelfs bij exfiltratie beperkt waardevol is. Ten derde: stel een incidentresponsplan op voordat een aanval plaatsvindt, niet tijdens. Dit plan moet duidelijke rollen, communicatieprotocollen en vooraf getoetste juridische en forensische contacten bevatten, zodat beslissingen niet onder paniek en tijdsdruk worden genomen.

Organisaties moeten er ook van uitgaan dat alle gegevens die bij een inbraak zijn aangeraakt uiteindelijk openbaar kunnen worden of doorverkocht, ongeacht of er losgeld is betaald. Voorbereid zijn op die mogelijkheid, via klantmeldingsprocedures, kredietbewakingsdiensten en juridische toetsing, is veel betrouwbaarder dan hopen dat een criminele groep de gestolen bestanden na betaling zal verwijderen.

Wat dit voor u betekent

Als uw organisatie ooit wordt geconfronteerd met een losgeldeis, suggereert het onderzoek van Proofpoint dat de beslissing om te betalen niet als een gegarandeerde oplossing mag worden beschouwd. Het risico van herhaalde afpersing na een losgeldbetaling is reëel en gedocumenteerd: betalen kan u markeren als doelwit in plaats van het incident af te sluiten. Of u nu een klein bedrijf runt of de beveiliging van een grotere onderneming beheert, de veiligste aanname is dat een ransomware-incident mogelijk geen eenmalige gebeurtenis is, tenzij u de onderliggende oorzaken aanpakt die de inbraak überhaupt mogelijk maakten.

Belangrijkste conclusies

  • Ga er niet van uit dat betaling de dreiging beëindigt. Proofpoint ontdekte dat meer dan een derde van de betalende slachtoffers te maken krijgt met een tweede afpersingspoging.
  • Geef prioriteit aan onveranderlijke, geteste back-ups, zodat betaling nooit uw enige weg naar herstel is.
  • Versleutel gevoelige gegevens om de schade van exfiltratie te beperken, ook als systemen zijn gecompromitteerd.
  • Bouw en oefen een incidentresponsplan voórdat een aanval plaatsvindt, niet tijdens.
  • Besef dat kleinere bedrijven steeds vaker het doelwit zijn van groepen als Qilin en The Gentlemen, waardoor proactieve verdediging essentieel is, ongeacht de bedrijfsgrootte.