Wanneer een losgeldbrief op de schermen van een bedrijf verschijnt, is de eerste reflex vaak om het als een IT-noodgeval te behandelen: isoleer het netwerk, waarschuw het beveiligingsteam, evalueer de schade aan servers. Maar een groeiend aantal richtlijnen, onlangs uiteengezet door Cyber Daily in zijn analyse van cyberafpersingsbeslissingen, maakt duidelijk dat het betalen of weigeren van losgeld veel meer is dan een technische keuze. Het is een juridische, financiële en bovenal een privacybeslissing die elke klant, werknemer en partner raakt van wie de gegevens zich in de geschonden systemen bevinden.

Het juridische mijnenveld achter een losgeldbeslissing

Een van de meest over het hoofd geziene aspecten van cyberafpersing is dat het betalen van de criminelen juridisch niet altijd eenvoudig is. Afhankelijk van wie er achter de aanval zit, kan een losgeldbetaling de betalende organisatie blootstellen aan risico's op sancties, vooral wanneer de dreigingsactor of hun infrastructuur gelinkt is aan een gesanctioneerde entiteit of jurisdictie. Organisaties die zonder juridische toetsing haastig betalen, kunnen naast de inbreuk zelf te maken krijgen met toezicht door regelgevende instanties. Zoals uiteengezet in onze eerdere berichtgeving over hoe losgeldbetalingen OFAC-sancties riskeren, gaat de beslissing om te betalen niet alleen over de vraag of een bedrijf de geldsom kan betalen. Het gaat erom of de betaling op zich legaal is, en of de organisatie het nodige due diligence-onderzoek heeft verricht om dat te achterhalen.

Juist daarom kan de respons op cyberafpersing niet alleen bij een IT-afdeling liggen. Juridisch adviseurs, compliance-functionarissen en vaak rechtshandhavingsinstanties moeten vanaf het allereerste moment bij het gesprek betrokken worden, en niet pas nadat een betaling al is overgemaakt.

Waarom dit een privacyprobleem is, niet alleen een IT-probleem

Ransomware was vroeger vooral gericht op het vergrendelen van bestanden. Dat is veranderd. Moderne afpersingsgroepen stelen steeds vaker gegevens voordat ze iets versleutelen en gebruiken vervolgens de dreiging van blootstelling als drukmiddel. Die verschuiving maakt van elk ransomware-incident een incident op het gebied van gegevensprivacy, ongeacht of de systemen uiteindelijk worden hersteld.

We hebben deze evolutie in realtime zien versnellen. Sommige groepen zetten niet langer de slachtofferorganisatie zelf onder druk, maar dreigen nu rechtstreeks contact op te nemen met de eigen klanten van een bedrijf, waarbij ze druk uitoefenen door zich te richten op de mensen wier persoonlijke informatie daadwerkelijk op het spel staat. Deze tactiek verandert de hele rekensom: zelfs een volledige losgeldbetaling biedt geen garantie dat gestolen klantgegevens niet worden gelekt, verkocht of gebruikt voor verdere afpersing.

Organisaties die een losgeldeis overwegen, moeten zich niet alleen afvragen 'kunnen we onze systemen herstellen', maar ook 'wat gebeurt er met de persoonsgegevens van iedereen in onze systemen, ongeacht wat we beslissen'. Een losgeldbetaling kan een decryptiesleutel opleveren. Het wist niet het feit dat gevoelige gegevens in de eerste plaats aan criminelen zijn blootgesteld.

Betalen biedt geen garantie op veiligheid

Zelfs wanneer organisaties betalen, is er geen betrouwbaar bewijs dat het probleem daarmee ophoudt. Uit onderzoek van Proofpoint blijkt dat een aanzienlijk deel van de bedrijven die losgeld betalen te maken krijgt met herhaalde afpersingspogingen, soms zelfs van dezelfde aanvallers die terugkomen voor een tweede betaling. Die gegevens ondermijnen een van de meest voorkomende rechtvaardigingen om te betalen: het geloof dat het probleem verdwijnt.

Sommige organisaties hebben een heel andere weg gekozen. Stadler Rail, de Zwitserse treinfabrikant, weigerde openlijk een miljoenenbedrag aan losgeld te betalen nadat aanvallers gegevens hadden gestolen via een externe leverancier, ervan overtuigd dat weigering minder risicovol was dan het legitimeren van de afpersingseconomie. Ondertussen blijft het ransomwarelandschap verschuiven; een recent overzicht van de sector waarin wordt bijgehouden welke groepen het huidige dreigingslandschap domineren laat zien dat het betalen van één bende het algehele risico van de tientallen andere actieve groepen niet vermindert.

Wat dit voor u betekent

Of u nu een klein bedrijf runt of verantwoordelijk bent voor de beveiliging van een grote onderneming, de beslissing om al dan niet te betalen mag nooit in isolatie worden genomen door degene die de servers beheert. Het vereist een juridische toetsing op sancties en blootstelling aan regelgeving, een privacy-evaluatie van welke gegevens precies zijn ingezien, en een realistisch begrip dat betaling geen garantie biedt tegen toekomstige afpersing of datalekken. Voor gewone consumenten is de conclusie anders, maar gerelateerd: de veiligheid van uw persoonsgegevens na een datalek hangt in hoge mate af van beslissingen die worden genomen door bedrijven waarmee u misschien nooit rechtstreeks te maken hebt. Daarom is het belangrijk om te begrijpen hoe organisaties omgaan met cyberafpersing, zelfs als u zelf niet de losgeldbrief onder ogen krijgt.

Concrete aanbevelingen

Organisaties moeten een incidentresponsplan opstellen voordat er een aanval plaatsvindt, waarin expliciet juridisch advies en privacy-evaluatie naast technische herstelmaatregelen worden opgenomen. Behandel een losgeldbeslissing nooit als louter een financiële kwestie; de sanctie- en compliancerisico's zijn reëel en kunnen de oorspronkelijke inbreuk verergeren. Ga ervan uit dat alle geëxfiltreerde gegevens mogelijk al gecompromitteerd zijn, ongeacht of er betaald is, en plan de communicatie met klanten en medewerkers dienovereenkomstig. Onthoud ten slotte dat de veiligste strategie op de lange termijn tegen cyberafpersing niet een snelle losgeldbetaling is, maar een sterkere verdediging die voorkomt dat de afpersingspoging in de eerste plaats slaagt.