Bedrijven blijven losgeld betalen, zo blijkt uit nieuwe gegevens

Ondanks jarenlange richtlijnen die organisaties aansporen om losgeldeisen te weigeren, schrijven veel bedrijven nog steeds cheques uit aan cybercriminelen. Een nieuw onderzoek van beveiligingsbedrijf Proofpoint wees uit dat bijna een kwart (22%) van de bedrijven die losgeld betaalden, opnieuw werd getroffen door een tweede afpersingspoging, een cijfer dat serieuze vragen oproept over de vraag of betalen daadwerkelijk iets oplost.

Het onderzoek komt op een moment dat autoriteiten harder dan ooit organisaties aansporen om voet bij stuk te houden tegenover aanvallers. Het Britse National Cyber Security Centre (NCSC) adviseert al lange tijd om geen losgeld te betalen, met de waarschuwing dat dit verdere aanvallen aanmoedigt en geen garantie biedt dat gestolen of versleutelde gegevens daadwerkelijk worden teruggegeven. Toch suggereren de bevindingen van Proofpoint dat officiële adviezen en zakelijke beslissingen in de praktijk vaak twee totaal verschillende dingen zijn.

Waarom bedrijven toch betalen

Ransomware-aanvallen plaatsen bedrijven in een weinig benijdenswaardige positie. Wanneer systemen zijn afgesloten of gevoelige gegevens dreigen openbaar te worden gemaakt, moeten leidinggevenden vaak reputatieschade, regelgevingsrisico's en operationele stilstand afwegen tegen de kosten van een losgeldbetaling. Voor veel organisaties kan betalen aanvoelen als de snelste weg terug naar normaal, zelfs als beveiligingsexperts waarschuwen dat het zelden zo netjes verloopt.

Die afweging wordt nog hachelijker gezien de professionalisering van de ransomware-industrie zelf. Onderhandelen is een soort huisnijverheid geworden, waarbij bedrijven specifiek worden ingehuurd om met aanvallers te communiceren en te proberen de eisen te verlagen. Maar die sector is niet zonder controverse geweest. In een opmerkelijke zaak werd een professionele onderhandelaar veroordeeld tot 70 maanden gevangenisstraf voor zijn rol in een BlackCat-ransomwaredeal, een harde herinnering dat degenen die deze betalingen bemiddelen niet altijd in het beste belang van een bedrijf handelen. Een verwante zaak met dezelfde onderhandelaar, in gerechtelijke documenten aangeduid als Martino, onderstreept nog eens hoe ondoorzichtig en juridisch riskant het ecosysteem van losgeldbetalingen kan worden zodra er een tussenpersoon bij betrokken is.

De privacykosten van het betalen van losgeld

De statistiek dat 22% opnieuw wordt afgeperst, is significant omdat deze indruist tegen de belangrijkste rechtvaardiging die de meeste bedrijven voor betalen geven: dat het het probleem doet verdwijnen. Als bijna een kwart van de slachtoffers na betaling opnieuw wordt aangevallen, koopt de betaling geen veiligheid. Het bevestigt aanvallers wellicht alleen maar dat de organisatie bereid en in staat is om te betalen, wat het een aantrekkelijker doelwit maakt voor toekomstige aanvallen.

Er is ook een privacyaspect dat in deze discussies vaak over het hoofd wordt gezien. Bij ransomware-aanvallen worden vaak gevoelige gegevens, klantdossiers, personeelsinformatie, financiële details gestolen, ruim voordat er versleuteling plaatsvindt. Het betalen van losgeld maakt die blootstelling niet ongedaan. Aanvallers kunnen de gegevens al hebben gekopieerd, en een betaling biedt geen verifieerbare garantie dat deze worden verwijderd in plaats van verkocht of later gelekt. Voor de personen van wie de gegevens zich in de systemen van een getroffen bedrijf bevinden, heeft de achter gesloten deuren plaatsvindende losgeldonderhandeling weinig invloed op de vraag of hun informatie privé blijft.

Wat dit voor u betekent

Als u consument bent, herinneren deze gegevens eraan dat het besluit van een bedrijf om losgeld te betalen niet noodzakelijkerwijs uw persoonlijke informatie beschermt. Meldingen van datalekken en aanbiedingen voor kredietbewaking na een ransomware-incident zijn de moeite van het serieus nemen waard, ongeacht of het getroffen bedrijf zegt de situatie met aanvallers te hebben opgelost.

Als u werkzaam bent in IT, beveiliging of leidinggevende functies, dan moeten de bevindingen van Proofpoint rechtstreeks worden meegenomen in de planning van incidentrespons. Betaling mag nooit als een snelle oplossing worden behandeld. Organisaties die eenmaal hebben betaald, lijken aantrekkelijke doelwitten te blijven, wat betekent dat herstelplannen een sterkere post-incident verharding moeten omvatten, en niet alleen een overschrijving en een zucht van verlichting.

Praktische aanbevelingen

  • Houd offline, geteste back-ups bij zodat encryptie-eisen hun hefboomwerking verliezen.
  • Behandel elk ransomware-incident standaard als een datalek, aangezien aanvallers vaak gegevens exfiltreren voordat ze deze versleutelen.
  • Schakel in een vroeg stadium wetshandhavingsinstanties en organisaties zoals het NCSC in, in plaats van meteen over te gaan tot betaling of onderhandeling.
  • Als er een onderhandelaar bij betrokken is, onderzoek deze dan zorgvuldig gezien de juridische risico's die door recente vervolgingen zijn benadrukt.
  • Communiceer transparant met getroffen klanten of werknemers, ongeacht of er losgeld is betaald.

Ransomware verdwijnt niet, en de verleiding om te betalen voor een snelle oplossing zal groot blijven. Maar deze nieuwe gegevens voegen gewicht toe aan wat toezichthouders al jaren zeggen: het betalen van losgeld is zelden het einde van het verhaal, en het zou zomaar het begin van een tweede kunnen zijn.