Welk percentage van de getroffen personen in de geanalyseerde ransomwarecampagne waren managers?

Bijna twee derde, ongeveer 67%, bekleedde een leidinggevende functie of hoger, volgens de analyse van ZDNET.

Waarom hebben ransomware-aanvallers het specifiek op managers gemunt?

Managers hebben vaak brede toegang tot operationele gegevens, financiële goedkeuringen en administratieve systemen, en ze ontvangen een groot aantal e-mails van zowel ondergeschikten als leidinggevenden, waardoor phishing zeer aannemelijk wordt.

Hoe is de targetingstrategie van ransomware veranderd vergeleken met eerdere campagnes?

Aanvallers zijn verschoven van het najagen van de grootste uitbetaling door zich op C-suite leidinggevenden te richten, naar het focussen op middenmanagers, met name in IT, operations of financiën, die praktische toegang tot kritieke systemen hebben met minder controle op beveiliging.

Welke privacyrisico's creëren deze aanvallen voor werknemers die niet rechtstreeks worden getroffen?

Gecompromitteerde manageraccounts kunnen gevoelige werknemersgegevens blootleggen, zoals functioneringsgesprekken, salarisinformatie en gezondheidsgegevens, wat leidt tot een dataprivacy-incident dat veel werknemers treft die zelf nooit op een kwaadaardige link hebben geklikt.

Welke specifieke leidinggevende functies lopen het meeste risico in deze campagne?

Middenmanagers in IT, operations of financiën zijn de belangrijkste doelwitten, omdat zij de praktische sleutels tot kritieke systemen in handen hebben zonder hetzelfde niveau van toegewijde beveiligingsmiddelen dat aan C-suite leidinggevenden wordt gegeven.

Ransomwarecampagne richt zich in twee derde van de gevallen op managers

Managers zijn nu het favoriete doelwit van ransomware

Een nieuwe analyse van een enkele ransomwarecampagne heeft uitgewezen dat bijna twee derde van de getroffen personen een leidinggevende functie of hoger bekleedde. Dat cijfer, gerapporteerd door ZDNET, markeert een opmerkelijke verschuiving in hoe ransomware-operators hun slachtoffers kiezen. In plaats van een breed net uit te werpen over het hele personeelsbestand, lijken aanvallers bewust degenen uit te kiezen met verhoogde toegangsrechten, beslissingsbevoegdheid, of beide.

Dit is niet zomaar een curiosum voor beveiligingsteams. Het heeft reële gevolgen voor de privacy van werknemers, de gevoeligheid van de gegevens die deze managers beheren, en de manier waarop organisaties nadenken over wie het meest dringend getraind en beschermd moet worden.

Waarom managers uitgegroeid zijn tot hoofddoelwitten

De logica achter deze verschuiving is eenvoudig zodra je bedenkt tot wat een manager doorgaans toegang heeft. Managers zitten vaak op het kruispunt van operationele data, HR-dossiers, financiële goedkeuringen en administratieve rechten in meerdere systemen. Eén account compromitteren kan een aanvaller een veel bredere voet aan de grond geven dan het compromitteren van het account van een gewone medewerker.

Dit weerspiegelt een patroon dat beveiligingsonderzoekers ook elders al hebben gesignaleerd. Zoals behandeld in een gerelateerd rapport over hoe ransomwarebendes hebben het nu gemunt op IT-managers in plaats van CEO's, zijn aanvallers afgestapt van de aanname dat de grootste opbrengst volgt uit het belagen van de absolute top van het organigram. In plaats daarvan beschikken middenmanagers, vooral die in IT, operations of financiën, vaak over de praktische sleutels tot kritieke systemen, zonder hetzelfde niveau van toezicht of beveiligingsmiddelen dat doorgaans gereserveerd wordt voor C-suite leidinggevenden.

Managers zijn ook aantrekkelijk omdat ze zich in een communicatieve sweet spot bevinden. Ze ontvangen een hoog volume e-mails van zowel ondergeschikten als hoger leiderschap, waardoor phishingpogingen die zich voordoen als de een of de ander plausibel zijn. Een bericht dat eruitziet alsof het van een directe medewerker komt met een tekenbevoegdheid, of van een leidinggevende met een dringend verzoek, is precies de soort social engineering die misbruik maakt van de dagelijkse routine van een manager.

De privacy-implicaties waar niemand het over heeft

Wat vaak verloren gaat in de berichtgeving over ransomware is het persoonlijke privacyrisico dat aan deze aanvallen kleeft. Managers hebben vaak toegang tot gevoelige werknemersinformatie: functioneringsbeoordelingen, salarisgegevens, disciplinaire dossiers en soms gezondheids- of familiedetails die tijdens een-op-eengesprekken worden gedeeld. Wanneer het account of apparaat van een manager wordt gecompromitteerd, komt die persoonlijke data van hun teamleden eveneens bloot te liggen, niet alleen bedrijfsintellectueel eigendom of financiële administratie.

Dit creëert een olievlekeffect. Een aanval die begint als een ransomware-incident gericht op één manager, kan stilletjes uitgroeien tot een dataprivacy-incident dat tientallen werknemers treft die zelf nooit op een kwaadaardige link hebben geklikt. Organisaties die hun verdediging tegen ransomware afwegen, moeten rekening houden met deze secundaire blootstellingslaag, met name onder regelgeving voor gegevensbescherming die bedrijven verantwoordelijk houdt voor het beveiligen van werknemersinformatie, ongeacht hoe een inbreuk heeft plaatsgevonden.

Zes praktische stappen om het risico te verkleinen

Op basis van de patronen achter deze campagne springen een paar concrete maatregelen eruit als echt nuttig, in plaats van generiek advies:

Pas het principe van de minste privileges toe op managementaccounts. Managers zouden alleen toegang moeten hebben tot de systemen en gegevens die ze echt nodig hebben voor hun rol, niet tot een blanco volmacht die samenhangt met hun functietitel.
Gebruik aparte inloggegevens voor administratieve taken. Als een manager af en toe verhoogde toegang nodig heeft, zou die toegang een aparte login moeten vereisen, niet hun alledaagse e-mailaccount.
Geef prioriteit aan gesimuleerde phishingtraining specifiek voor managementlagen. Algemene training voor al het personeel is nuttig, maar managers krijgen te maken met gerichtere en overtuigendere lokmiddelen, en hun training zou dat moeten weerspiegelen.
Dwing multi-factorauthenticatie overal af, zonder uitzonderingen voor gemak. Aanvallers die managers viseren, rekenen op snellere goedkeuringen en minder frictie; MFA dicht dat gat.
Segmenteer netwerken zodat één gecompromitteerd account niet overal bij kan. Het beperken van laterale beweging vermindert hoeveel schade één gestolen inloggegeven kan aanrichten.
Onderhoud geteste, offline back-ups van kritieke gegevens. Zelfs als een aanval slaagt, vermindert een solide herstelplan de pressiemiddelen die ransomware-operators hebben tijdens onderhandelingen.

Wat dit voor jou betekent

Als je een manager bent, is dit rapport een direct signaal dat je inbox en je accounts meer risico met zich meedragen dan je wellicht aannam. Het is de moeite waard om aan je IT- of beveiligingsteam te vragen of jouw toegangsrechten overeenkomen met wat je dagelijks daadwerkelijk gebruikt, en of je training ontvangt die is afgestemd op de gerichte phishingpogingen waarmee managers specifiek te maken krijgen.

Als je leiding geeft aan beveiligingsbeleid, is dit een reden om opnieuw te bekijken wie het meest intensief wordt getraind en hoe accountprivileges over de managementlaag van je organisatie worden verdeeld. De gegevens suggereren dat ransomware managers niet willekeurig treft, maar vanwege waartoe hun rol hen toegang geeft.

De onderste streep

Het feit dat ransomware nu zo onevenredig vaak op managers is gericht, zou moeten veranderen hoe organisaties prioriteit geven aan beveiligingstraining en toegangscontroles. Het gaat er niet om aan te nemen dat elke manager een zwakke schakel is, maar om te erkennen dat hun positie in het organigram hen tot een waardevol doelwit maakt, los van intentie of bewustzijn. Toegangsrechten herzien, authenticatievereisten aanscherpen en rolgerichte training geven zijn praktische stappen die elke organisatie nu al kan nemen, zonder te wachten tot een incident dwingt tot actie.