Ransomware begint zelden met één enkele onzorgvuldige klik. Een nieuwe uiteenzetting van Adaptive Security catalogueert 20 toegangspaden en beschrijft hoe een inbraak zich verplaatst van het eerste houvast naar versleuteling en afpersing. De meest voorkomende deuren zijn phishing, gestolen inloggegevens, misbruikte publiekelijk toegankelijke applicaties, password spraying en blootgestelde externe services. Inzicht in ransomware-infectievectoren en verdedigingsmaatregelen is de eerste stap om die deuren te sluiten op een thuis- of thuiswerkomgeving.

Hoe ransomware binnenkomt: de meest voorkomende toegangspaden

Volgens het rapport komt het eerste houvast meestal via een van vijf routes:

  • Phishing: e-mails of berichten die iemand verleiden een bestand, link of inlogpagina te openen.
  • Gestolen inloggegevens: geldige gebruikersnamen en wachtwoorden die aanvallers elders hebben verkregen.
  • Misbruikte publiekelijk toegankelijke applicaties: niet-gepatchte software of apparaten die vanaf het internet bereikbaar zijn.
  • Password spraying: een paar veelvoorkomende wachtwoorden uitproberen op veel accounts.
  • Blootgestelde externe services: tools voor externe toegang die openstaan voor het internet.

De inbraak doorloopt vervolgens uitvoering, privilege-escalatie, persistentie, laterale beweging, gegevensdiefstal, versleuteling en afpersing. De versleutelingsstap is de laatste fase, niet de eerste. Dat is belangrijk omdat het betekent dat verdedigers vaak meerdere kansen hebben om een aanval op te merken en te stoppen voordat een bestand wordt vergrendeld.

Gestolen inloggegevens verdienen speciale aandacht. Onze berichtgeving over hoe infostealer-malware aanvallen met gestolen inloggegevens aanwakkert legt uit hoe een inloggegeven dat van één geïnfecteerd apparaat is verzameld, later kan worden gebruikt om zo door de voordeur naar binnen te lopen. Voor een breder beeld van niet-e-mailroutes, zie ons stuk over hoe ransomware zich verspreidt buiten phishing-e-mails.

Vroege waarschuwingssignalen voordat bestanden worden versleuteld

Omdat de aanval in fasen verloopt, verschijnen de tekenen vaak ruim voordat er een losgeldbriefje is. De fasen die in de bron worden beschreven, suggereren waarop je moet letten:

  • Onverwachte aanmeldingen of vergrendelingen: herhaalde mislukte aanmeldingen of meldingen van onbekende locaties kunnen wijzen op password spraying of hergebruik van inloggegevens.
  • Nieuwe accounts of gewijzigde machtigingen: privilege-escalatie en persistentie gaan vaak gepaard met het aanmaken of wijzigen van accounts.
  • Onbekende tools of instellingen voor externe toegang: een externe service die je niet hebt ingeschakeld, is een rode vlag.
  • Beveiligingssoftware uitgeschakeld: aanvallers proberen vaak beveiligingen uit te schakelen voordat ze versleutelen.
  • Ongebruikelijke netwerkactiviteit: grote uitgaande overdrachten kunnen wijzen op gegevensdiefstal voorafgaand aan afpersing.

Geen enkel teken is op zichzelf bewijs van een aanval, maar meerdere samen rechtvaardigen onmiddellijke actie: wijzig wachtwoorden, koppel het getroffen apparaat los en controleer je accounts op wijzigingen die je niet hebt aangebracht.

Waar VPN's en instellingen voor externe toegang helpen, en waar niet

Een VPN wordt vaak beschreven als een wondermiddel voor beveiliging. Dat is het niet, en het is de moeite waard om precies te zijn over de rol ervan.

Waar een VPN kan helpen:

  • Het versleutelt verkeer op niet-vertrouwde netwerken zoals openbare Wi-Fi, wat de kans op onderschepping verkleint.
  • Wanneer het wordt gebruikt als gateway naar bronnen voor thuiswerk, kan het interne services van het open internet houden. Een externe service achter een goed geconfigureerde VPN met sterke authenticatie plaatsen is doorgaans veiliger dan deze direct blootstellen.

Waar een VPN niet helpt:

  • Het stopt niet dat een phishing-e-mail malware levert.
  • Het beschermt geen wachtwoord dat al is gestolen. Als een aanvaller geldige inloggegevens heeft, doet een VPN niets om het gebruik daarvan te blokkeren.
  • Het patcht geen kwetsbare software. Sterker nog, VPN-gateways en andere edge-apparaten zijn zelf publiekelijk toegankelijk, dus een niet-gepatchte kan het toegangspunt worden.

De conclusie is dat tools voor externe toegang deel uitmaken van je aanvalsoppervlak. Een VPN waarop je vertrouwt, heeft dezelfde zorg nodig als elk ander systeem dat aan het internet is blootgesteld: actuele updates, sterke unieke wachtwoorden en multi-factor-authenticatie.

Praktische stappen om pc's, routers en thuisnetwerken te beveiligen

De volgende stappen pakken de hierboven genoemde toegangspaden aan zonder specialistische vaardigheden te vereisen.

  1. Gebruik unieke wachtwoorden en een wachtwoordmanager. Dit beperkt de schade wanneer één inloggegeven wordt gestolen.
  2. Schakel multi-factor-authenticatie in voor e-mail, cloudopslag, externe toegang en financiële accounts.
  3. Patch snel. Schakel automatische updates in voor je besturingssysteem, browser, apps en routerfirmware.
  4. Sluit wat je niet gebruikt. Schakel Extern bureaublad en eventuele functies voor routerbeheer op afstand uit, tenzij je ze echt nodig hebt. Als je ze wel nodig hebt, plaats ze dan achter een VPN of een andere beveiligde gateway in plaats van ze direct bloot te stellen.
  5. Wijzig standaard router-inloggegevens en gebruik sterke Wi-Fi-versleuteling.
  6. Houd betrouwbare endpoint-beveiliging actief en schakel deze niet uit om software te installeren.
  7. Maak back-ups van belangrijke bestanden offline of in een vorm die niet vanaf je hoofdapparaat kan worden overschreven, en test of je ze kunt herstellen.
  8. Scheid apparaten waar mogelijk, bijvoorbeeld door werkmateriaal niet op hetzelfde netwerksegment te houden als smart-home-apparaten.

Wat dit voor jou betekent

Als je thuiswerkt, vormen je router, instellingen voor externe toegang en accountaanmeldingen de perimeter die aanvallers testen. Bewustzijn van phishing blijft belangrijk, maar het is slechts één van meerdere deuren. De meeste andere paden komen neer op twee gewoonten: software bijgewerkt houden en inloggegevens beschermen. Een VPN kan een nuttige laag zijn, vooral op openbare netwerken, maar kan patching, multi-factor-authenticatie of goede wachtwoordhygiëne niet vervangen.

Belangrijkste punten

  • Controleer wat vanaf het internet bereikbaar is: Extern bureaublad, routerbeheerpagina's en eventuele tools voor externe toegang.
  • Controleer je omgang met inloggegevens: unieke wachtwoorden, overal MFA en geen hergebruik tussen werk- en persoonlijke accounts.
  • Werk routers en andere edge-apparaten bij, niet alleen laptops.
  • Onderhoud geteste back-ups zodat herstel niet afhankelijk is van het betalen van losgeld.

Lees onze gids over infostealer-malware om te begrijpen hoe gestolen inloggegevens deze aanvallen mogelijk maken, en voor diepere berichtgeving over niet-e-mailtoegangspaden, zie hoe ransomware zich verspreidt buiten phishing-e-mails. Als je ransomware-infectievectoren en verdedigingsmaatregelen kent, kun je de meest waarschijnlijke deuren sluiten voordat een aanvaller ze probeert.