Hoe ransomware evolueerde van versleuteling naar gegevensdiefstal en afpersing

Jarenlang volgde ransomware een eenvoudig script. Aanvallers drongen het netwerk van een bedrijf binnen, versleutelden de bestanden en eisten losgeld voor de decoderingssleutel. Als het slachtoffer over goede back-ups beschikte, konden ze vaak hun systemen herstellen en wegwandelen zonder te betalen. Dat vangnet is grotendeels verdwenen.

De ransomwaregroepen van vandaag zijn overgeschakeld op wat onderzoekers dubbele afpersing noemen. Voordat ze iets vergrendelen, kopiëren aanvallers stilletjes gevoelige bestanden, klantgegevens, personeelsdossiers, financiële documenten en alles wat verder waardevol is. Pas nadat de diefstal voltooid is, activeren ze de versleuteling. Dit betekent dat het betalen voor een decoderingssleutel het echte probleem niet langer oplost. Zelfs als een bedrijf zijn systemen herstelt vanuit back-ups, zijn de gestolen gegevens nog steeds buit, en dreigen criminelen deze te publiceren of verkopen, tenzij er een tweede losgeld wordt betaald.

Deze verschuiving is belangrijk omdat het verandert wie het echte slachtoffer is. Het is niet langer alleen de IT-afdeling die in allerijl servers probeert te herstellen. Het is elke klant, patiënt of werknemer wiens persoonlijke gegevens in de database van dat bedrijf stonden. De privacyzorgen rond ransomware-gegevensafpersing reiken nu veel verder dan de getroffen organisatie zelf, tot iedereen wiens gegevens ooit aan die organisatie zijn toevertrouwd.

Wie wordt blootgesteld wanneer een bedrijf dat jij vertrouwt wordt getroffen

Wanneer een ransomwaregroep een bedrijf binnendringt, stopt de blootstelling niet bij de salarisadministratie of bedrijfsgeheimen van dat bedrijf. Afhankelijk van het doelwit kunnen gestolen gegevens namen, adressen, sofi-nummers, medische dossiers, inloggegevens en financiële rekeninggegevens omvatten. Vooral zorgverleners zijn frequente doelwitten geworden, omdat patiëntgegevens waardevol zijn en organisaties vaak onder druk staan om incidenten snel op te lossen. De Medusa-ransomware-richtlijn voor zorgorganisaties illustreert precies hoe dit zich afspeelt, waarbij overheidsinstanties beschrijven hoe de groep netwerken infiltreert, gevoelige gegevens exfiltreert en slachtoffers onder druk zet met de dreiging van openbare lekken.

Het verontrustende voor consumenten is dat je zelden controle hebt over welke bedrijven jouw gegevens bewaren of hoe goed ze die beschermen. Een winkelier, verzekeraar, ziekenhuis of zelfs een schooldistrict kan worden getroffen door een inbreuk, en jouw informatie kan maanden of jaren na je interactie met die organisatie op een leaksite belanden. Mogelijk weet je niet eens dat je gegevens betrokken waren totdat er een melding van een datalek komt, of totdat het te laat is.

Stappen die je kunt nemen als je gegevens in een ransomwarelek verschijnen

Als je een melding van een datalek ontvangt of ontdekt dat je gegevens in een lek voorkomen, behandel dat dan als een signaal om te handelen, niet om in paniek te raken. Begin met te bevestigen welk type gegevens precies is blootgesteld. Financiële rekeningnummers, sofi-nummers en medische gegevens vereisen andere reacties dan alleen een blootgesteld e-mailadres.

Wijzig onmiddellijk wachtwoorden voor accounts die aan de getroffen organisatie zijn gekoppeld en vermijd het hergebruiken van dat wachtwoord elders. Als financiële of identiteitsgegevens betrokken waren, overweeg dan een fraudemelding of een kredietstop bij de grote kredietbureaus. Houd je bank- en creditcardafschriften nauwlettend in de gaten op onbekende activiteiten in de weken en maanden na het incident, aangezien gestolen gegevens soms worden verkocht en pas lang na de initiële inbreuk worden gebruikt.

Het is ook de moeite waard om het incident te melden, zowel bij het betrokken bedrijf als, als er identiteitsdiefstal plaatsvindt, bij de relevante autoriteiten voor consumentenbescherming. Documentatie is belangrijk voor het geval je later frauduleuze kosten of accounts moet betwisten.

Je blootstelling verminderen: VPN's, inloghygiëne en melding bij autoriteiten

Hoewel je niet kunt controleren of een bedrijf waarmee je zaken hebt gedaan wordt getroffen door een inbreuk, kun je wel verminderen hoeveel schade een inbreuk jou persoonlijk toebrengt. Het gebruik van unieke, sterke wachtwoorden voor elk account, in combinatie met een wachtwoordmanager, beperkt hoe ver een enkel gelekt wachtwoord zich kan verspreiden. Het inschakelen van meervoudige authenticatie voegt nog een barrière toe, zelfs als een wachtwoord wordt blootgesteld.

Aanvallers vertrouwen steeds vaker op gestolen of hergebruikte inloggegevens om toegang tot netwerken te krijgen, in plaats van op exotische malware. Een recente golf van incidenten liet zien hoe aanvallers Microsoft 365-sessies kaapten via misbruik van extern beheerprogramma in plaats van een softwarefout te misbruiken. Dit onderstreept hoe sterk moderne inbreuken afhankelijk zijn van alledaagse toegangspunten zoals inlogs en ondersteuningstools, in plaats van geavanceerde hacking. Een VPN kan niet voorkomen dat de servers van een bedrijf worden getroffen door een inbreuk, maar het helpt wel je eigen verbinding te beschermen tegen onderschepping op openbare netwerken en kan de hoeveelheid persoonlijke gegevens verminderen die tijdens het browsen wordt blootgesteld. Dat wordt belangrijker naarmate je gegevens op meer plaatsen circuleren door inbreuken buiten jouw controle.

Als je vermoedt dat je identiteit is gecompromitteerd, zorgt het melden bij de relevante cybercriminaliteits- of consumentenbeschermingsautoriteit van je land voor een officieel document en kan dit helpen bij bredere onderzoeken naar de verantwoordelijke criminele groepen.

Wat dit voor jou betekent

Ransomware is niet langer een probleem dat alleen bedrijven en hun IT-teams treft. Omdat aanvallers nu gegevens stelen voordat ze versleutelen, worden gewone mensen bijkomende schade op het moment dat een bedrijf dat hun gegevens bewaart, wordt getroffen door een inbreuk. De privacyrisico's van ransomware-gegevensafpersing betekenen dat zelfs organisaties met sterke backupsystemen de klanten en patiënten wiens gegevens zijn gestolen niet volledig kunnen beschermen. Je beste verdediging is ervan uit te gaan dat elk account dat je ooit hebt aangemaakt uiteindelijk bij een inbreuk betrokken kan raken, en je daarop voor te bereiden.

Praktische aanbevelingen

  • Gebruik unieke wachtwoorden en een wachtwoordmanager, zodat één gelekt wachtwoord niet meerdere accounts in gevaar brengt.
  • Schakel meervoudige authenticatie in waar het wordt aangeboden.
  • Houd meldingen van datalekken en financiële overzichten nauwlettend in de gaten en handel snel als je gegevens in een lek verschijnen.
  • Overweeg een kredietstop als gevoelige identiteitsgegevens zoals een sofi-nummer zijn blootgesteld.
  • Meld vermoedelijke identiteitsdiefstal of fraude aan de juiste autoriteiten om een gedocumenteerd verslag te creëren.

Begrijpen hoe ransomware is geëvolueerd van een ongemak met een vergrendeld scherm tot een volwaardige dreiging van gegevensafpersing is de eerste stap om jezelf te beschermen in een wereld waarin je persoonlijke gegevens slechts zo veilig zijn als het zwakste bedrijf dat ze bewaart.