De echte inkomstenmotor van ransomware is niet encryptie

Jarenlang richtte ransomware-verdediging zich op één moment: het ogenblik dat bestanden worden vergrendeld. Maar nieuwe bevindingen, behandeld door The National CIO Review, maken duidelijk dat encryptie vaak het minst waardevolle deel van een ransomware-aanval is voor de criminelen erachter. De echte winst komt van datadiefstal, en die winst stopt niet wanneer het losgeld is betaald of systemen zijn hersteld.

Volgens het rapport betaalde 54% van de getroffen organisaties een losgeldeis. Dat is op zich niet verrassend, gezien hoe ontwrichtend versleutelde systemen kunnen zijn. Wat opvalt, is wat er daarna gebeurde: 37% van de organisaties die betaalden, kreeg later opnieuw een eis van dezelfde of een andere aanvaller. Met andere woorden, meer dan een derde van de slachtoffers die dachten dat ze het incident hadden afgesloten, stond weer bij af en onderhandelde opnieuw over dezelfde gestolen gegevens.

Waarom gestolen data aanvallers blijft betalen

Zodra aanvallers data exfiltreren voordat ze encryptie inzetten, verkrijgen ze meerdere, losstaande inkomstenstromen die niet afhankelijk zijn van het vergrendeld blijven van de systemen van het slachtoffer. Het rapport schetst er verschillende:

  • Dreiging met openbaarmaking: Aanvallers dreigen gevoelige bestanden te lekken tenzij een tweede betaling wordt gedaan, zelfs na het oorspronkelijke losgeld voor decryptiesleutels.
  • Doorverkoop van gestolen data: Informatie wordt op criminele marktplaatsen verkocht aan andere dreigingsactoren, ongeacht of het oorspronkelijke slachtoffer iets heeft betaald.
  • Misbruik van inloggegevens: Gebruikersnamen, wachtwoorden en toegangstokens uit gestolen bestanden worden hergebruikt om in te breken op andere accounts of systemen, soms bij partnerorganisaties of leveranciers.
  • Vervolgaanvallen: Details die bij een inbraak zijn verzameld, zoals netwerkdiagrammen, leverancierscontracten of interne communicatie, maken toekomstige indringingen eenvoudiger en gerichter.

Daarom beschrijven beveiligingsonderzoekers moderne ransomware steeds vaker als een datadiefstalprobleem met daaraan vastgeplakte encryptie, in plaats van andersom. Encryptie verstoort de bedrijfsvoering dagen- of wekenlang. Gestolen data kan maanden- of jarenlang als wapen worden ingezet.

Een recent voorbeeld van deze dynamiek die zich in het openbaar afspeelde, betrof de inbraak bij Tata Electronics waarbij iPhone 18 Pro-geheimen uitlekten, waar een ransomwaregroep die zichzelf World Leaks noemde, gevoelige niet-uitgebrachte productinformatie publiceerde na toegang tot interne systemen. Zulke gevallen illustreren hoe gestolen bedrijfsgegevens waarde behouden voor aanvallers tot ver na de eerste indringing, en hoe dreigingen met openbaarmaking alleen al organisaties tot moeilijke beslissingen kunnen dwingen, zelfs zonder een werkende encryptie-lading.

Waarom betalen niet garandeert dat het verhaal eindigt

Het cijfer van 37% herhaalde eisen verdient bijzondere aandacht omdat het een veelvoorkomende aanname ondergraaft: dat betaling van losgeld het incident afsluit. In werkelijkheid heeft het slachtoffer, zodra data het netwerk van de organisatie heeft verlaten, geen mogelijkheid om te verifiëren dat kopieën zijn vernietigd, dat de aanvaller de informatie niet doorverkoopt of dat een andere groep dezelfde bestanden niet al in handen heeft. Betalen lost het encryptieprobleem op. Het doet niets aan het datadiefstalprobleem, omdat die data al uit de controle van het slachtoffer is op het moment van exfiltratie.

Dit heeft directe gevolgen voor hoe organisaties nadenken over voorbereiding op ransomware. Back-up- en herstelplanning is belangrijk om systemen weer online te krijgen, maar doet niets om een lek, doorverkoop of een tweede afperspoging te voorkomen. Exfiltratie in de eerste plaats voorkomen, via netwerksegmentatie, strikte toegangscontroles en het minimaliseren van hoeveel gevoelige data wordt opgeslagen of bereikbaar is, is net zo belangrijk als herstelplanning.

Wat dit voor u betekent

Of u nu IT beheert voor een klein bedrijf of gewoon uw eigen accounts beschermt, de les uit deze gegevens is hetzelfde: ga ervan uit dat elke inbraak waarbij uw informatie betrokken is, kan leiden tot voortdurende blootstelling, niet tot één enkel incident. Als een bedrijf waarmee u te maken heeft een ransomware-aanval meldt, behandel het dan als een open-ended risico. Hergebruikte wachtwoorden, oude accountgegevens en persoonlijke details die aan die inbraak zijn gekoppeld, kunnen weer opduiken bij credential stuffing of vervolgscams, lang nadat de krantenkoppen zijn verdwenen.

Voor organisaties is de conclusie: behandel dataminimalisatie en netwerksegmentatie als kernverdedigingen tegen ransomware, niet als bijzaak. Beperken welke gevoelige data vanaf elk afzonderlijk gecompromitteerd punt toegankelijk is, vermindert hoeveel aanvallers kunnen stelen, zelfs als ze binnendringen.

Concreet toepasbare inzichten

  • Gebruik unieke wachtwoorden voor elk account en wijzig ze als u een melding krijgt van een inbraak waarbij uw gegevens betrokken zijn, zelfs maanden later.
  • Schakel multifactorauthenticatie in waar mogelijk om de waarde van gestolen inloggegevens te verkleinen.
  • Als u een bedrijf runt, voer dan een audit uit van welke gevoelige data wordt opgeslagen en wie er toegang toe heeft; minder blootgestelde data betekent minder pressiemiddel voor aanvallers.
  • Ga er niet van uit dat een ransomware-incident voorbij is zodra er losgeld is betaald of systemen zijn hersteld. Controleer op tekenen van gelekte data of hernieuwde afperspogingen.
  • Segmenteer netwerken zodat één gecompromitteerd apparaat of account niet uw hele dataomgeving blootlegt.

Het grootste voordeel van ransomware is niet de encryptie die de krantenkoppen haalt. Het is de datadiefstal die in stilte vooraf plaatsvindt en waarde blijft genereren voor aanvallers, lang nadat de eerste crisis lijkt te zijn opgelost.