Waarom het betalen van losgeld het probleem niet beëindigt

Wanneer ransomware de systemen van een bedrijf vergrendelt, is de neiging om te betalen en verder te gaan begrijpelijk. Uit een nieuw onderzoek van beveiligingsbedrijf Proofpoint onder 953 bedrijven blijkt dat die neiging kan averechts werken. Volgens de bevindingen worden organisaties die losgeld betalen vaak aantrekkelijkere doelwitten, niet minder. Zodra een criminele groep bevestigt dat een slachtoffer bereid is te betalen, kan datzelfde slachtoffer worden gemarkeerd voor een vervolgaanval.

Dit is belangrijk omdat de logica achter losgeldbetalingen altijd heeft berust op een eenvoudige ruil: geld voor afsluiting. Leidinggevenden keuren betalingen goed in de overtuiging dat systemen worden hersteld, gestolen gegevens worden verwijderd, bedrijfsonderbreking wordt beperkt en klanten worden beschermd. Het onderzoek van Proofpoint geeft aan dat deze ruil veel minder betrouwbaar is dan de meeste organisaties aannemen. Betalen beëindigt niet noodzakelijk de relatie met de aanvaller; in sommige gevallen begint er juist een nieuwe.

De zakelijke logica achter een tweede eis

Ransomwaregroepen opereren als bedrijven, en bedrijven zoeken naar terugkerende klanten. Een bedrijf dat al heeft aangetoond te zullen betalen, is vanuit crimineel perspectief een bewezen inkomstenbron. Het heeft werkkapitaal, een leiderschapsteam dat snel een betaling wil goedkeuren, en vermoedelijk nog steeds dezelfde kwetsbaarheden die de eerste aanval in de eerste plaats lieten slagen.

Dat laatste punt is cruciaal. Het betalen van losgeld pakt de onmiddellijke crisis aan, maar lost zelden de onderliggende beveiligingslekken op waardoor aanvallers konden binnendringen. Als dezelfde phishingvector, niet-gepatchte software of blootgestelde externe toegangspoort er na het incident nog steeds is, is er niets dat dezelfde groep, of een gelieerde partij die toegang tot dezelfde slachtoffergegevens heeft gekocht, tegenhoudt om het opnieuw te proberen. Onze eerdere berichtgeving over het onderzoek van Proofpoint naar betalers van ransomware gaat dieper in op hoe vaak deze herhaalde incidenten voorkomen en waarom de betaling zelf kan fungeren als een signaal naar andere criminele groepen dat een doelwit kwetsbaar is.

Verklein het afpersingsrisico voordat het begint

Het goede nieuws is dat organisaties hier niet machteloos staan. De stappen die het risico op ransomware verminderen, zijn grotendeels dezelfde als beveiligingsteams al jaren aanbevelen, ze zijn alleen urgenter geworden in het licht van deze gegevens.

Het onderhouden van offline, geteste back-ups blijft de meest effectieve manier om de beslissing om al dan niet te betalen überhaupt te vermijden. Als systemen kunnen worden hersteld vanuit een back-up zonder de decoderingssleutel van de aanvaller te gebruiken, stort de hele afpersingspremisse in. Netwerksegmentering is ook belangrijk: door te beperken hoe ver een aanvaller zich eenmaal binnen kan verplaatsen, wordt de impactradius van een enkele inbreuk verkleind, wat op zijn beurt de onderhandelingspositie tijdens een losgeldonderhandeling vermindert.

Continue dreigingsmonitoring en eindpuntdetectie helpen om inbraken te onderscheppen voordat ze escaleren tot volledige versleuteling. Veel ransomware-aanvallen ontvouwen zich over dagen of weken tussen de eerste toegang en de uiteindelijke payload; dat venster is een kans om in te grijpen. Beveiligde praktijken voor externe toegang, waaronder het gebruik van een VPN voor versleutelde verbindingen en multi-factor authenticatie voor iedereen die inlogt van buiten het bedrijfsnetwerk, sluiten een van de meest voorkomende toegangspunten af die criminelen misbruiken. Geen van deze maatregelen garandeert immuniteit, maar samen verkleinen ze de kans dat een bedrijf überhaupt met een losgeldbrief te maken krijgt.

Wat dit voor u betekent

Als uw organisatie ooit wordt getroffen door ransomware, suggereren de bevindingen van Proofpoint dat betalen niet moet worden behandeld als een schone oplossing. Voordat u een betaling goedkeurt, is het de moeite waard om te vragen of de onderliggende kwetsbaarheid is geïdentificeerd en gedicht, want als dat niet het geval is, kan de betaling simpelweg de eerste termijn zijn in een langdurige relatie met de aanvaller.

Dit is ook het moment om de rechtshandhaving er vroeg bij te betrekken in plaats van als een bijzaak. Instanties die ransomwaregroepen volgen, kunnen soms decoderingshulpmiddelen, dreigingsinformatie over het gedrag van een specifieke bende, of context bieden over de vraag of een groep een geschiedenis van herhaalde afpersing heeft. Het inschakelen van externe expertise op het gebied van incidentrespons voordat een betalingsbeslissing wordt genomen, in plaats van erna, geeft een organisatie een duidelijker beeld van haar werkelijke opties.

Voor kleinere bedrijven zonder toegewezen beveiligingsteams is de rekensom vergelijkbaar, maar zijn de middelen beperkter. Dat maakt preventie nog belangrijker: basale hygiëne zoals regelmatige back-ups, gepatchte software en beveiligde hulpmiddelen voor externe toegang doen meer om het risico te verlagen dan welke beslissing na een incident ooit kan.

Belangrijkste conclusies

De kernles uit dit Proofpoint-onderzoek is eenvoudig: een losgeldbetaling koopt tijd, niet noodzakelijkerwijs veiligheid. Organisaties moeten elk ransomware-incident beschouwen als bewijs van een beveiligingslek dat moet worden gedicht, ongeacht of er wordt betaald. Praktische stappen die het prioriteren waard zijn, omvatten het onderhouden van offline back-ups, het segmenteren van netwerken, het monitoren op vroege tekenen van inbraak en het beveiligen van externe toegang met sterke authenticatie en versleutelde verbindingen.

Het allerbelangrijkste is dat elke betalingsbeslissing moet worden genomen naast een serieus herstelplan, niet in plaats daarvan. Ransomwarebendes runnen een bedrijf, en de gegevens suggereren dat ze precies weten welke klanten het waard zijn om twee keer te factureren.