Wat de nieuwe gegevens over herhaalde afpersing door ransomware laten zien

Nieuwe cijfers, gerapporteerd door Connor Jones op DataBreaches.Net, bevestigen wat beveiligingsonderzoekers al jaren vermoeden: betalen aan een ransomwarebende maakt geen einde aan de beproeving, maar markeert vaak het begin van ronde twee. Volgens enquêtegegevens die bij het rapport worden aangehaald, koos 58 procent van de getroffen Britse organisaties ervoor om vorig jaar losgeld te betalen. Van degenen die betaalden, werd 22 procent opnieuw getroffen door dezelfde of een andere criminele groep die een tweede betaling eiste.

Dat betekent dat ongeveer één op de vijf organisaties die de moeilijke beslissing namen om te betalen, niets duurzaams voor hun geld kreeg. De afpersingscyclus werd gewoon opnieuw gestart, soms binnen enkele weken. Dit patroon van herhaalde ransomware-afpersingsbetalingen wordt een bepalend kenmerk van het huidige dreigingslandschap en dwingt beveiligingsteams en leidinggevenden om de hele afweging of betalen ooit een rationele reactie is, te heroverwegen.

Waarom eenmalig betalen uitnodigt tot een tweede aanval

De logica achter herhaalde afpersing is vanuit het perspectief van de criminelen eenvoudig. Zodra een organisatie laat zien bereid te zijn te betalen, wordt het een gemarkeerd doelwit. Ransomware-operators houden bij welke slachtoffers bezweken, hoe snel ze betaalden en hoeveel ze bereid waren over te maken. Die informatie circuleert vaak binnen affiliate-netwerken en wordt soms verkocht of gedeeld tussen criminele groepen die werken volgens een ransomware-as-a-service-model.

Een slachtoffer dat eenmaal $500.000 betaalt, geeft feitelijk aan dat het zowel de kasreserves als de risicobereidheid heeft om opnieuw te betalen. Aanvallers weten dat een tweede inbraak, zelfs een minder geavanceerde, een goede kans van slagen heeft als de onderliggende kwetsbaarheden die de eerste inbreuk mogelijk maakten, nooit volledig zijn hersteld. In veel gevallen van dubbele en driedubbele afpersing worden gestolen gegevens na betaling niet eens verwijderd, ondanks beloften van het tegendeel, waardoor de deur open blijft voor een vervolgeis die draait om de dreiging diezelfde gestolen informatie te publiceren.

Dit is precies de reden waarom wetshandhavingsinstanties, waaronder de FBI, consequent hebben geadviseerd tegen het betalen van losgeld. Betaling garandeert geen gegevensherstel, geen verwijdering van gestolen bestanden en, zoals deze nieuwe gegevens laten zien, geen garantie dat de aanvallers wegblijven.

Proactieve verdedigingsmaatregelen die het risico op ransomware verkleinen

Als betalen het probleem niet betrouwbaar oplost, is de duurzamere weg het verkleinen van de kans op een succesvolle inbreuk in de eerste plaats. Verschillende verdedigingslagen komen in bevindingen van incidentrespons consequent naar voren als het verschil tussen een ingeperkt incident en een catastrofaal incident.

Netwerksegmentatie beperkt hoe ver een aanvaller zich kan verplaatsen zodra hij een eerste voet aan de grond krijgt. In plaats van één plat netwerk waar één gecompromitteerde inloggegevens toegang geeft tot alles, dwingen gesegmenteerde omgevingen aanvallers om voor elke extra centimeter te vechten, wat verdedigers tijd geeft om te detecteren en te reageren.

Zero-trust toegangscontroles gaan ervan uit dat geen enkele gebruiker of apparaat automatisch betrouwbaar is, zelfs niet binnen de bedrijfsperimeter. Elke toegangsaanvraag wordt geverifieerd, waardoor het veel moeilijker wordt voor gestolen inloggegevens alleen om kritieke systemen te ontsluiten.

Betrouwbare, geteste en offline back-ups blijven een van de meest effectieve ransomwareverdedigingen die beschikbaar zijn. Versleutelde bestanden zijn geen drukmiddel meer wanneer een organisatie de operaties kan herstellen vanaf schone back-ups zonder met iemand te onderhandelen. Het sleutelwoord is getest: back-ups die niet zijn geverifieerd via daadwerkelijke hersteloefeningen falen vaak precies wanneer ze het meest nodig zijn.

Multi-factor authenticatie, tijdig patchen van systemen die met het internet zijn verbonden en continue monitoring op ongebruikelijke laterale beweging maken de basislijn compleet die organisaties die snel herstellen, onderscheidt van degenen die uiteindelijk worden geconfronteerd met een tweede afpersingsvraag.

Wat organisaties zouden moeten doen in plaats van betalen

Wanneer zich een ransomware-incident voordoet, is de neiging om snel te betalen en het probleem te laten verdwijnen begrijpelijk, vooral onder druk van klanten, toezichthouders of een bestuur dat aandringt op een snelle oplossing. Maar de gegevens over herhaalde afpersing maken duidelijk dat betaling geen betrouwbare exitstrategie is. Organisaties zijn beter af door er in een vroeg stadium wetshandhaving bij te betrekken, incidentresponse-professionals in te schakelen die de werkelijke omvang van de blootstelling van gegevens kunnen beoordelen, en transparant te zijn naar de betrokken belanghebbenden in plaats van aan te nemen dat een stille betaling de kwestie doet verdwijnen.

Wat dit voor u betekent

Of u nu IT beheert voor een klein bedrijf of toezicht houdt op het beveiligingsbeleid bij een grotere organisatie, deze gegevens zijn een duidelijk signaal om prioriteiten te herverdelen. Geld dat is gereserveerd voor losgeld-contingentieplannen kan veel beter worden besteed aan segmentatieprojecten, zero-trust-uitrol en back-upinfrastructuur die regelmatig wordt getest. Cyberverzekeringspolissen en incidentresponse-retainers moeten ook worden herzien om ervoor te zorgen dat ze de nadruk leggen op preventie en herstelcapaciteit in plaats van alleen het dekken van een uitbetaling.

Voor particulieren is de boodschap op kleinere schaal vergelijkbaar: sterke, unieke wachtwoorden, multi-factor authenticatie en regelmatige back-ups van persoonlijke en gezinsapparaten verkleinen de kans dat een enkele ransomware-infectie een herhaalde nachtmerrie wordt.

Concrete actiepunten

  • Behandel losgeldbetaling als een laatste redmiddel, niet als een eerste reactieplan; de gegevens tonen aan dat het vaak faalt om de dreiging te beëindigen.
  • Investeer in netwerksegmentatie zodat een enkel gecompromitteerd account niet een hele omgeving kan blootleggen.
  • Pas zero-trust-principes toe voor interne en externe toegang, waarbij elke aanvraag wordt geverifieerd in plaats van alleen te vertrouwen op de netwerklocatie.
  • Houd offline, regelmatig geteste back-ups bij zodat herstel niet afhankelijk is van onderhandelen met criminelen.
  • Stel nu al een incidentresponsplan op, voordat er een aanval plaatsvindt, zodat beslissingen niet onder paniek en druk worden genomen.

De toename van herhaalde ransomware-afpersingsbetalingen vormt een sterk argument om middelen te verschuiven van reactieve onderhandeling naar proactieve verdediging. Organisaties die die verschuiving nu maken, zullen veel beter gepositioneerd zijn dan degenen die nog hopen dat een eenmalige betaling het probleem doet verdwijnen.