Het nieuwe bedrijfsmodel van cybercriminaliteit

Een ransomware-netwerk is er onlangs in geslaagd bedrijfssystemen te doorbreken en gevoelige informatie van grote bedrijven te lekken, zo blijkt uit berichtgeving van HSB Noticias. Deze zaak herinnert ons eraan dat ransomware veel verder is geëvolueerd dan eenvoudige bestandsversleuteling. De criminele groeperingen van vandaag opereren meer als bedrijven, met duidelijke doelwitten, onderhandelingstactieken en verdienmodellen die zijn gebaseerd op gestolen gegevens in plaats van alleen vergrendelde computers.

Deze verschuiving is belangrijk omdat het verandert wat "gehackt worden" werkelijk betekent voor een bedrijf en, in het verlengde daarvan, voor de werknemers, klanten en partners van wie de informatie zich in bedrijfssystemen bevindt. Wanneer een ransomwaregroep een netwerk infiltreert, is het doel niet langer alleen losgeld eisen voor een decoderingssleutel. De echte drukmiddelen komen steeds vaker voort uit de dreiging om de gegevens zelf openbaar te maken of te verkopen, een tactiek die vaak dubbele afpersing wordt genoemd.

Hoe deze criminele groepen opereren

Ransomwarebendes volgen doorgaans een patroon: toegang krijgen tot een bedrijfsnetwerk, het stilletjes verkennen om waardevolle gegevens te identificeren, die informatie exfiltreren en pas daarna encryptie toepassen of eisen stellen. Deze volgorde betekent dat tegen de tijd dat een bedrijf merkt dat er iets mis is, gevoelige bestanden, van financiële gegevens tot klantendatabases, mogelijk al op servers staan die door aanvallers worden beheerd.

Het rapport van HSB Noticias benadrukt hoe deze netwerken zich specifiek richten op grote bedrijven, waarschijnlijk omdat grotere organisaties doorgaans waardevollere en omvangrijkere datasets bezitten en omdat ze onder druk kunnen worden gezet om te betalen om reputatieschade of wettelijke boetes te voorkomen. Zodra gegevens zijn gestolen, hebben criminele groepen opties: ze kunnen ze verkopen op ondergrondse markten, gebruiken voor verdere afpersing, of delen ervan openbaar lekken om te bewijzen dat de inbreuk heeft plaatsgevonden en slachtoffers onder druk te zetten om te onderhandelen.

Hier worden de privacy-implicaties ernstig. Datalekken bij bedrijven blijven zelden beperkt tot het bedrijf dat is gehackt. Klantgegevens, personeelsinformatie en zakelijke communicatie verspreiden zich vaak verder, waardoor personen worden blootgesteld die nooit een directe relatie met de aanvallers hadden en zelf geen enkele manier hadden om de inbraak te voorkomen.

Waarom regels voor gegevensprivacy belangrijker zijn dan ooit

Zoals deze aanvallen aantonen, is de gevoeligheid van opgeslagen gegevens, en wie er toegang toe heeft, een centrale privacyvraag geworden. Dit is mede de reden waarom lopende debatten over het scannen van gegevens en communicatiebewaking, zoals het Chat Control-voorstel van de EU, zoveel aandacht trekken. Elk systeem dat de toegang tot privécommunicatie of persoonlijke gegevens centraliseert, of het nu is gebouwd voor wetshandhaving of voor bedrijfsgemak, wordt een aantrekkelijk doelwit voor precies het soort criminele groepen dat in dit rapport wordt beschreven. Hoe meer gegevens worden verzameld, opgeslagen of toegankelijk worden gemaakt via achterdeuren en scanmechanismen, hoe groter de potentiële buit voor aanvallers die die systemen doorbreken.

Dit is geen pleidooi tegen alle gegevensverzameling of beveiligingstools, maar het onderstreept een basisprincipe: elke dataset die een bedrijf of overheid bezit, is zowel een verplichting als een bezit. De bedrijven die in deze ransomwarezaak werden getroffen, hadden waarschijnlijk cyberbeveiligingsmaatregelen getroffen, maar toch vonden aanvallers een weg naar binnen. Die realiteit zou moeten bepalen hoe organisaties en wetgevers denken over het minimaliseren van onnodige gegevensopslag en -toegang.

Wat dit voor u betekent

Als u klant, medewerker of partner bent van een groot bedrijf, is dit soort ransomware-activiteit een signaal om op te letten, zelfs als u niet persoonlijk bent genoemd in een specifieke inbreuk. Datalekken bij bedrijven duiken maanden later vaak op in de vorm van phishing-pogingen, credential stuffing-aanvallen of identiteitsdiefstalpraktijken die informatie gebruiken die uit deze incidenten afkomstig is.

Voor bedrijven is de les directer. Ransomwaregroepen zijn steeds meer financieel gemotiveerd en georganiseerd en beschouwen aanvallen als een zakelijk voorstel in plaats van vandalisme. Dat betekent dat de verdediging niet alleen rekening moet houden met encryptie en losgeldeisen, maar ook met de diefstal en doorverkoop van de gegevens zelf.

Concrete aandachtspunten

Houd uw accounts en kredietactiviteit in de gaten op ongebruikelijke signalen, vooral als u onlangs zaken hebt gedaan met een groot bedrijf, omdat gestolen inloggegevens van bedrijfsinbreuken later vaak opduiken in niet-gerelateerde aanvallen. Gebruik unieke wachtwoorden voor elke account en schakel waar mogelijk multi-factor authenticatie in, zodat een enkel gelekt wachtwoord niet kan worden hergebruikt voor verschillende diensten. Als u een organisatie beheert of er werkt, dring dan aan op regelmatige audits van welke gegevens daadwerkelijk moeten worden opgeslagen, aangezien ongebruikte of overmatige gegevensopslag de potentiële schade van een toekomstige inbreuk alleen maar vergroot. Blijf ten slotte op de hoogte van hoe wetgeving die van invloed is op gegevenstoegang en communicatiescans het risicolandschap kan veranderen, aangezien gecentraliseerde datasystemen hoofddoelen blijven voor het soort ransomware-operaties dat in dit rapport wordt beschreven.

Terwijl ransomwaregroepen gestolen gegevens blijven behandelen als een winstgevend handelswaar, moeten zowel individuen als organisaties dataminimalisatie en beveiligingshygiëne als doorlopende prioriteiten beschouwen, niet als eenmalige oplossingen.