Een golf nieuwe slachtoffers duikt op in het dark web
Een ransomwaregroep die bekendstaat als Royal heeft in de afgelopen twee maanden gegevens van bijna 60 slachtoffers gepubliceerd, volgens rapporten over de activiteiten van de groep. Dat tempo wijst op een operatie die niet vertraagt, en het brengt een groeiend aantal organisaties – en daarmee ook hun werknemers en klanten – in gevaar dat gevoelige informatie openbaar wordt blootgesteld.
Royal ransomware hanteert wat beveiligingsonderzoekers een dubbel-afpersingsmodel noemen. In plaats van alleen de bestanden van een slachtoffer te versleutelen, steelt de groep ook gegevens voordat ze worden versleuteld. Als een slachtoffer weigert te betalen, plaatst Royal gestolen bestanden of slachtoffernamen op een leksite, waarbij publieke schaamte wordt gebruikt als extra drukmiddel om betaling af te dwingen. Deze tactiek is standaard geworden in een groot deel van het ransomware-ecosysteem, maar het aantal slachtoffers dat in zo'n kort tijdsbestek is gepubliceerd, onderstreept hoe actief en georganiseerd deze operaties zijn geworden.
Hoe het dubbel-afpersingsdraaiboek werkt
De werking achter de aanvallen van Royal is simpel maar effectief. Zodra de groep toegang krijgt tot een netwerk, exfiltreert ze gegevens – vaak inclusief financiële administratie, personeelsgegevens of klantgegevens – voordat ze encryptiemalware inzet die systemen vergrendelt. Slachtoffers worden vervolgens benaderd, meestal via een op Tor gebaseerde onderhandelingsportal, en krijgen te horen dat ze moeten betalen om een ontsleutelingssleutel te ontvangen en om te voorkomen dat hun gestolen gegevens openbaar worden gemaakt of verkocht.
Deze combinatie van versleuteling en datadiefstal verhoogt de inzet aanzienlijk. Zelfs organisaties met gedegen back-ups, die anders systemen hadden kunnen herstellen zonder losgeld te betalen, worden nog steeds geconfronteerd met de dreiging van een openbaar datalek. Daardoor moeten slachtoffers niet alleen operationele verstoring afwegen, maar ook reputatieschade, blootstelling aan regelgeving en de gevolgen voor de privacy van iedereen wiens gegevens bij de inbraak betrokken zijn.
Ransomwareaanvallen op instellingen die grote hoeveelheden persoonsgegevens bewaren, laten zien hoe ontwrichtend deze incidenten kunnen zijn. De recente ransomware-inbreuk op Mount Royal University, waarbij persoonsgegevens van zowel studenten als medewerkers werden blootgesteld, herinnert ons eraan dat geen enkele sector immuun is en dat de gevolgen van een enkele inbraak kunnen doorsijpelen naar duizenden individuen die geen directe rol hadden in de beveiligingsbeslissingen van een organisatie.
Waarom losgeldeisen blijven stijgen
Losgeldeisen die verband houden met de aanvallen van Royal zouden variëren van honderdduizenden dollars tot enkele miljoenen, afhankelijk van de grootte en de ingeschatte betalingscapaciteit van de doelorganisatie. Die bandbreedte weerspiegelt een bredere trend in het ransomwarelandschap, waarbij aanvallers steeds vaker vooraf onderzoek doen naar slachtoffers om eisen af te stemmen die pijnlijk maar niet zo extreem zijn dat ze gegarandeerd niet worden betaald.
Het gebruik van op Tor gebaseerde communicatiekanalen voor onderhandelingen weerspiegelt ook hoe deze groepen met een zekere operationele professionaliteit te werk gaan: ze gebruiken geanonimiseerde infrastructuur om hun identiteit af te schermen terwijl ze iets runnen wat lijkt op een zakelijke onderhandeling, compleet met deadlines en prijscategorieën.
Wat dit voor jou betekent
Voor de meeste lezers is het directe risico van een groep als Royal indirect: het komt via de organisaties waarmee je te maken hebt, of dat nu een werkgever, een school, een zorgverlener of een online dienst is. Wanneer een van deze entiteiten wordt getroffen, kunnen jouw persoonlijke gegevens – waaronder namen, contactgegevens, financiële gegevens of medische dossiers – uiteindelijk openbaar worden gemaakt of worden verkocht als onderdeel van het afpersingsproces.
Daarom is het belangrijk om alert te blijven op inbreukmeldingen. Als een bedrijf of instelling waarmee je een relatie hebt een ransomware-incident openbaart, neem het dan serieus, zelfs als de eerste verklaring de impact bagatelliseert. Dubbel-afpersingsaanvallen betekenen dat gestolen gegevens later kunnen opduiken, soms weken of maanden na de oorspronkelijke inbreuk, dus voortdurende waakzaamheid is nuttiger dan een eenmalige controle.
Concrete stappen om jezelf te beschermen
Hoewel je een bedrijf niet kunt weerhouden om doelwit te worden, kun je wel je eigen blootstelling verkleinen. Gebruik unieke, sterke wachtwoorden voor elk account, zodat een enkele inbreuk niet meerdere diensten in gevaar brengt. Schakel multi-factor authenticatie in waar die wordt aangeboden, vooral op financiële en e-mailaccounts. Controleer je kredietrapporten en bankafschriften op onbekende activiteit, met name na een inbreukmelding van een organisatie waarvan jij gebruikmaakt.
Het is ook de moeite waard om erop te letten hoe organisaties waarvan jij afhankelijk bent communiceren over beveiligingsincidenten. Bedrijven die transparant zijn over ransomwareaanvallen en getroffen personen snel op de hoogte stellen, geven jou een betere kans om te reageren voordat gestolen gegevens echte schade veroorzaken.
Het tempo van Royal ransomware – bijna 60 slachtoffers gepubliceerd in twee maanden – is een duidelijk signaal dat dubbel-afpersingsaanvallen een hardnekkige en evoluerende dreiging blijven. Op de hoogte blijven van hoe deze groepen opereren en eenvoudige voorzorgsmaatregelen nemen met je eigen accounts en gegevens, blijft de meest praktische verdediging voor individuen die uiteindelijk stroomafwaarts van deze aanvallen staan.
