Betalen van ransomware beëindigt de dreiging zelden, zo blijkt uit enquête

Een nieuwe enquête van beveiligingsbedrijf Proofpoint voorziet een al jaren door wetshandhaving herhaalde waarschuwing van nieuwe cijfers: het betalen van een ransomwarebende lost het probleem zelden op. Volgens het onderzoek gaf 58 procent van de ondervraagde bedrijven in het Verenigd Koninkrijk toe losgeld te hebben betaald na een ransomware-aanval. Maar de gegevens suggereren dat die beslissing vaak meer ellende uitnodigt dan dat het een oplossing biedt.

Uit de enquête bleek dat ongeveer 22 procent van de organisaties die losgeld betaalden opnieuw werden afgeperst door dezelfde aanvallers, soms voor extra betalingen die verband hielden met dezelfde gestolen gegevens. In sommige gevallen betaalden slachtoffers één keer om hun systemen weer te ontsluiten, om vervolgens weken of maanden later opnieuw te worden benaderd met dreigementen om dezelfde informatie te lekken als er niet nog een betaling werd gedaan. Nog zorgwekkender is dat ongeveer 2 procent van de slachtoffers die losgeld betaalden hun bestanden helemaal nooit terugkreeg, omdat de door de aanvallers verstrekte decryptietools faalden of omdat de criminelen simpelweg nooit van plan waren hun belofte na te komen.

Dit patroon sluit aan bij wat de FBI en Europol bedrijven al jaren voorhouden: losgeldbetalingen financieren criminele operaties, garanderen zelden een zuivere oplossing en kunnen een organisatie markeren als een zacht doelwit dat bereid is opnieuw te betalen.

Waarom losgeldbetalingen herhaalde aanvallen uitlokken

De logica achter herhaalde afpersing is vanuit crimineel perspectief eenvoudig. Zodra een bedrijf heeft aangetoond te zullen betalen om een probleem te laten verdwijnen, wordt dat bedrijf een bekende grootheid voor aanvallers, en vaak ook voor andere criminele groepen die slachtoffergegevens verhandelen op ondergrondse forums. Losgeld betalen betekent niet per se dat gestolen gegevens worden verwijderd. In veel gevallen blijven er kopieën achter op de infrastructuur van de aanvallers, worden ze gedeeld met aangesloten groepen of worden ze stilletjes bewaard als drukmiddel voor een tweede ronde eisen.

Dit is de kernspanning die de gegevens van Proofpoint blootleggen: de kortetermijnverlichting van betalen om de bedrijfsvoering te herstellen, kan een langetermijnverplichting scheppen. Aanvallers weten dat een bedrijf dat onder druk staat om de activiteiten te hervatten, het vertrouwen van klanten te beschermen en toezichtboetes te vermijden, eerder opnieuw betaalt dan dat het weigert en de gevolgen van een datalek aanvaardt. Die rekensom is precies wat herhaalde afpersing aanwakkert, en daarom blijven beveiligingsonderzoekers losgeldbetaling beschrijven als een beslissing die een acute crisis inruilt voor een potentieel grotere, terugkerende. In de berichtgeving over deze Proofpoint-enquête over herhaalde ransomware-aanvallen werd opgemerkt dat de prikkelstructuur voor aanvallers alleen maar sterker wordt zodra een slachtoffer bereid blijkt te betalen.

De privacygevolgen voorbij het losgeld

Hoewel ransomware-berichtgeving vaak focust op operationele stilstand, verdienen de privacy-implicaties evenveel aandacht. Wanneer een bedrijf losgeld betaalt om blootstelling van gegevens te voorkomen, vertrouwt het er in wezen op dat een criminele onderneming een belofte zonder juridische afdwingbaarheid nakomt. Klantgegevens, personeelsdossiers, financiële details en medische informatie kunnen ongeacht betaling vatbaar blijven voor doorverkoop of lekken. Voor de mensen van wie de gegevens in deze gecompromitteerde systemen zitten, biedt een losgeldbetaling geen enkele echte garantie dat hun persoonlijke informatie veilig is.

Dit is met name relevant voor organisaties die gevoelige persoonsgegevens verwerken, waar een inbreuk meldingsverplichtingen, toezichtboetes en blijvende reputatieschade kan veroorzaken, lang nadat enig losgeld is betaald. De bevindingen van de enquête bevestigen dat ransomware niet alleen een IT-incident is. Het is een privacy-incident met gevolgen die lang na de eerste krantenkoppen weer kunnen opduiken.

Wat dit voor u betekent

Als u een bedrijf runt, of IT- en beveiligingsbeslissingen voor een bedrijf beheert, is de conclusie van deze enquête duidelijk: losgeld betalen is geen gegarandeerde weg naar een oplossing en kan uw blootstelling aan toekomstige aanvallen vergroten. Beslissingen die in de paniek van een actief incident worden genomen, moeten worden afgewogen tegen de realiteit dat aanvallers vaak gestolen gegevens bewaren, ongeacht betaling, en dat zichtbare bereidheid om te betalen van een organisatie een herhaaldoelwit kan maken.

Voor gewone consumenten is dit een herinnering dat datalekken die verband houden met ransomware-aanvallen een langere nasleep kunnen hebben dan de eerste nieuwsberichten suggereren. Persoonlijke informatie die bij het ene incident wordt blootgesteld, kan opduiken bij latere lekken, zelfs als het getroffen bedrijf de situatie als opgelost heeft gemeld.

Belangrijkste punten

  • Bijna zes op de tien ondervraagde Britse organisaties betaalden losgeld na een aanval, volgens de gegevens van Proofpoint.
  • Ongeveer 22 procent van degenen die betaalden, werd opnieuw gechanteerd, vaak met dezelfde gestolen gegevens.
  • Een klein percentage van de slachtoffers die betaalden, kreeg helemaal nooit meer toegang tot hun bestanden.
  • Wetshandhavingsinstanties zoals de FBI en Europol blijven aanbevelen om niet toe te geven aan ransomware-eisen.
  • Bedrijven moeten investeren in incidentresponsplanning, offline back-ups en gereedheid voor melding van inbreuken, in plaats van losgeldbetaling als een snelle oplossing te beschouwen.

Ransomware blijft een hardnekkige dreiging, maar deze enquête geeft extra gewicht aan een boodschap die beveiligingsprofessionals al jaren uitdragen: betalen koopt geen gemoedsrust. Zowel organisaties als individuen zijn beter af met preventie, voorbereiding en scepsis tegenover elke belofte van criminele actoren die gestolen gegevens gegijzeld houden.