Recordlage losgeldbetalingen duwen afpersingstactieken naar fysiek domein
Ransomwaregroepen hebben steeds meer moeite om betaald te krijgen. Nieuwe berichtgeving laat zien dat het aandeel slachtoffers dat instemt met het betalen van losgeld is gedaald naar het laagste punt ooit gemeten, een trend die de manier waarop criminele groepen hun doelwitten onder druk zetten hervormt. In plaats van zich terug te trekken, zijn sommige van de grootste resterende uitbetalingen nu gekoppeld aan één groep die agressief de juridische sector target, en andere operators lijken de lagere betalingspercentages te compenseren door op te schalen van digitale dwang naar dreigementen die doorsijpelen naar de fysieke wereld.
Deze verschuiving is belangrijk voor iedereen die verantwoordelijk is voor het beschermen van de data van een organisatie, omdat het betekent dat de oude rekenformule voor ransomwareverdediging (back-ups, patching, endpointbeveiliging) niet langer het hele verhaal is. Afpersing wordt net zo goed een menselijk probleem als een technisch probleem.
Waarom ransomware-betalingspercentages recordlage niveaus bereiken
Jarenlang konden ransomwaregroepen rekenen op een voorspelbaar percentage slachtoffers dat betaalde om hun data terug te krijgen of om lekken te voorkomen. Die berekening stort in. Betalingspercentages zijn nu gedaald naar een recordlaagte, volgens de nieuwste berichtgeving, wat suggereert dat organisaties steeds vaker bereid zijn de operationele pijn van een aanval te absorberen in plaats van de criminelen erachter te financieren.
Dit sluit aan bij bredere verschuivingen in het ransomware-landschap. Zoals behandeld in vpn.social's blik op hoe het ransomware-ecosysteem fragmenteert, splintert het criminele ondergrondse zelf uiteen in tientallen kleinere, minder gecoördineerde groepen. Fragmentatie maakt het moeilijker voor een individuele operator om de reputatie en onderhandelingspositie op te bouwen die slachtoffers ooit aanmoedigde om snel te betalen. Tegelijkertijd laten spraakmakende schikkingen zoals de 23andMe-uitbetaling van $18 miljoen zien dat organisaties steeds vaker geld steken in juridische en regelgevende afhandeling in plaats van aanvallers direct te belonen.
Interessant genoeg geldt: hoewel minder slachtoffers betalen, kunnen de betalingen die wel doorgaan enorm zijn. Een apart vpn.social-rapport over losgeldbetalingen in Q2 2026 vond dat de gemiddelde betaling met 176% steeg naar $1,88 miljoen in één kwartaal, zelfs terwijl het algehele percentage betalende slachtoffers daalde. Minder mensen betalen, maar degenen die betalen, betalen veel meer, vaak omdat de aanvallers in die gevallen buitengewoon intense druk uitoefenen.
Hoe afpersing fysiek wordt: dreigementen buiten het netwerk om
Nu minder slachtoffers bereid zijn te betalen om simpelweg een datalek te voorkomen, lijken sommige afpersingsgroepen de inzet buiten het netwerk zelf te verhogen. In plaats van uitsluitend te vertrouwen op versleutelde bestanden of de dreiging van het publiceren van gestolen data, zouden deze groepen overstappen op directere vormen van intimidatie gericht op de mensen die verbonden zijn aan een doelorganisatie, niet alleen op de systemen.
Dit is een betekenisvolle escalatie. Een ransomware-onderhandeling was vroeger in de kern een technische en financiële beslissing: herstellen vanaf back-up, losgeld betalen, of het dataverlies accepteren. Wanneer dreigementen het fysieke domein betreden, verschuift de besluitvorming naar de beveiligings- en juridische teams van een organisatie, en mogelijk naar wetshandhaving, op manieren waar firewalls en VPN's nooit voor zijn ontworpen. Het is een herinnering dat cybercriminele groepen hun tactieken aanpassen op basis van wat financieel werkt, en wanneer digitale hefboomwerking geen uitbetalingen meer oplevert, zijn sommigen bereid andere drukmiddelen te zoeken.
De buitensporige blootstelling van de juridische sector aan gerichte uitbetalingen
Terwijl de betalingspercentages over het algemeen dalen, merkt de berichtgeving op dat een disproportioneel deel van de grote uitbetalingen die nog plaatsvinden, kan worden herleid tot één groep die zich specifiek richt op de juridische sector. Advocatenkantoren zijn om een reden aantrekkelijke doelwitten: ze bezitten gevoelige klantinformatie, bevoorrechte communicatie en processtukken die professioneel en juridisch verwoestend kunnen zijn als ze worden blootgesteld. Die combinatie van hoge inzet en tijdsgevoelige verplichtingen kan juridische organisaties eerder doen besluiten te betalen, zelfs terwijl de bredere trend de tegenovergestelde richting op gaat.
Deze concentratie illustreert ook hoe ransomware zich heeft bewogen van opportunistische, spray-en-bid-aanvallen naar meer doelbewuste targeting van sectoren waar de kosten van nee zeggen bijzonder hoog zijn.
Wat dit voor jou betekent
Voor de meeste individuen zal deze trend niet leiden tot een directe dreiging, maar het benadrukt wel hoe veel geavanceerder en gerichter ransomware-operaties zijn geworden. Als je werkt in een juridische praktijk, een zorgverlener, of een organisatie die gevoelige klant- of patiëntgegevens beheert, is de risicoberekening veranderd. Het gaat niet langer alleen om de vraag of je bestanden worden versleuteld; het gaat erom wie mogelijk wordt bedreigd, gecontacteerd of geïntimideerd als onderdeel van een afpersingspoging.
Risico verminderen in een hybride cyber-fysieke dreigingsomgeving
Technische verdedigingen doen er nog steeds toe, maar ze zijn niet langer op zichzelf voldoende. Organisaties moeten geteste, offline back-ups onderhouden, multi-factorauthenticatie afdwingen en software gepatcht houden. Net zo belangrijk is nu het hebben van een duidelijk incidentresponsplan dat rekening houdt met dreigingen voor werknemers, leidinggevenden of klanten, niet alleen voor servers. Zoals vpn.social eerder heeft gerapporteerd, lieten dubbele-afpersingstactieken al zien dat back-ups niet genoeg zijn om veiligheid te garanderen zodra data is gestolen; de opkomst van fysieke intimidatietactieken breidt die les nog verder uit. Werknemers moeten worden getraind om verdachte contacten te herkennen en te melden, en juridische en beveiligingsteams moeten vooraf coördineren hoe ze dreigementen aanpakken die verder gaan dan een losgeldbriefje.
Belangrijkste punten
- Losgeldbetalingspercentages zijn gedaald naar een recordlaagte, waardoor de financiële prikkel voor opportunistische aanvallen afneemt.
- Sommige groepen compenseren dit door op te schalen naar fysieke dreigementen, een tactiek die VPN's en endpointtools alleen niet kunnen aanpakken.
- De juridische sector blijft disproportioneel blootgesteld aan grote, gerichte uitbetalingen.
- Sterke back-ups en netwerkbeveiliging blijven essentieel, maar organisaties hebben ook incidentresponsplannen nodig die rekening houden met dwang gericht op mensen, niet alleen op data.
Nu de ransomware-economie verschuift, is op de hoogte blijven van hoe afpersingstactieken evolueren een van de meest praktische stappen die elke organisatie kan nemen om zich voor te bereiden.
