Nieuw onderzoek uit Singapore geeft bedrijven die overwegen om een ransomware-eis te betalen een ongemakkelijke herinnering: de betaling maakt vaak geen einde aan de beproeving. Volgens berichtgeving van Singapore Business Review betaalde 50% van de lokale organisaties die getroffen werden door afpersingsaanvallen geld aan hun aanvallers, en een opvallend deel van die slachtoffers die betaalden, kreeg daarna te maken met een tweede eis.

Deze bevinding gaat in tegen de veelgehoorde aanname dat het betalen van losgeld een snelle manier is om van een kostbaar probleem af te komen. Voor veel organisaties lijkt het tegenovergestelde te gebeuren: het geeft criminele groepen het signaal dat het slachtoffer zowel bereid als in staat is om te betalen, waardoor het een uitgelezen kandidaat is voor een tweede ronde.

Wat het onderzoek heeft uitgewezen

Het kerncijfer uit het onderzoek is simpel maar ontnuchterend. De helft van de ondervraagde Singaporese organisaties die te maken kregen met een ransomware- of afpersingsaanval koos ervoor om hun aanvallers te betalen. Dat is een beslissing die met een muntworp wordt genomen onder enorme druk, vaak met versleutelde systemen, stilgelegde bedrijfsvoering en dreigende reputatieschade die allemaal meewegen in de uitkomst.

Wat deze dataset bijzonder opmerkelijk maakt, is de follow-up: een significant deel van degenen die betaalden kreeg geen afsluiting. In plaats daarvan ontvingen ze een tweede afpersingseis, of het nu van dezelfde groep was die terugkwam voor meer of van een verwante actor die misbruik maakte van dezelfde toegang of gelekte gegevens. Dit patroon is niet uniek voor Singapore. Vergelijkbare bevindingen zijn elders opgedoken, waaronder een analyse die aantoont dat ransomwarebendes 22% van de slachtoffers die al betaald hebben opnieuw afpersen, en apart onderzoek uit Nieuw-Zeeland wees uit dat ongeveer 1 op de 5 losgeldbetalingen verraden werd door aanvallers die, ondanks de betaling, terugkwamen voor meer.

Samen schetsen deze datapunten een consistent beeld in verschillende markten: het betalen van losgeld levert niet betrouwbaar veiligheid op en kan in een aanzienlijk aantal gevallen de kans vergroten om opnieuw doelwit te worden.

Waarom aanvallers terugkomen voor meer

De gedragslogica hierachter is eenvoudig zodra je het vanuit het perspectief van de crimineel bekijkt. Een slachtoffer dat al betaald heeft, heeft drie dingen aangetoond die waardevol zijn voor een afperser: er is geld beschikbaar, men heeft besloten dat betalen de voorkeur heeft boven het alternatief en men beschikt mogelijk niet over de technische verdediging om een herhaalde inbraak te voorkomen.

Ransomware-operaties lijken steeds meer op bedrijven met eigen interne statistieken. Een betalende klant is, bot gezegd, een bewezen lead. Sommige groepen opereren ook als filialen of franchises, wat betekent dat de gegevens of netwerktoegang van een slachtoffer kunnen worden doorverkocht of hergebruikt door een heel andere criminele organisatie, wat resulteert in een tweede eis die niets te maken heeft met de groep achter de eerste aanval. Hoe dan ook, het slachtoffer blijft met een dubbel risico zitten.

Juist om deze dynamiek waarschuwen cybersecurity-instanties en onderzoekers al lang dat het betalen van losgeld niet als een oplossing moet worden beschouwd, maar als een tijdelijk en onbetrouwbaar noodverband.

Meer dan losgeld betalen: echte verdediging opbouwen

Als betaling geen gegarandeerde oplossing is, waar moeten organisaties en individuen dan hun energie op richten? Het antwoord ligt in het verkleinen van de kans op een succesvolle aanval in de eerste plaats en het beperken van de schade als er toch een plaatsvindt.

Dat begint met de basis: het onderhouden van offline, geteste back-ups zodat versleutelde gegevens kunnen worden hersteld zonder te onderhandelen met aanvallers. Het betekent ook het aanscherpen van de toegangscontroles op afstand, want gestolen inloggegevens en blootgestelde remote desktop-protocollen blijven veelvoorkomende toegangspunten voor ransomwarebendes. Het versleutelen van gevoelig verkeer en het gebruik van veilige, goed geconfigureerde VPN-verbindingen voor werken op afstand en hybride werken kan het aanvalsoppervlak verkleinen waar criminelen op vertrouwen om een eerste voet aan de grond te krijgen. Training van medewerkers om phishingpogingen te herkennen, die nog steeds een belangrijke verspreidingsmethode voor ransomware zijn, completeert een gelaagde verdedigingsstrategie die niet afhankelijk is van de hoop dat aanvallers zich aan hun woord houden.

Wat dit voor jou betekent

Met name voor kleine en middelgrote bedrijven zou dit onderzoek de planning van de incidentrespons moeten veranderen. Als jouw organisatie ooit getroffen wordt door ransomware, moet de beslissing om te betalen niet worden behandeld als een schone uitweg. Begroot en plan alsof betaling slechts tijdelijk uitstel kan kopen, geen definitieve oplossing. Dat betekent dat je een gedocumenteerd incidentresponsplan hebt, juridische en regelgevende richtlijnen van tevoren klaar hebt liggen en een helder besef dat betalen kan uitnodigen tot verdere aanvallen in plaats van ze te beëindigen.

Voor individuen en thuiswerkers is de boodschap persoonlijker: de zwakke punten die aanvallers misbruiken, van niet-gepatchte software tot onbeveiligde verbindingen, zijn vaak te voorkomen met basale hygiëne in plaats van dure middelen.

Belangrijkste conclusies

  • De helft van de Singaporese organisaties die getroffen werden door afpersingsaanvallen betaalde hun aanvallers, aldus het nieuwe onderzoek.
  • Een opvallend deel van de losgeldbetalende slachtoffers kreeg alsnog een tweede afpersingseis, in lijn met vergelijkbare wereldwijde bevindingen.
  • Betaling moet worden beschouwd als een laatste redmiddel en niet als een gegarandeerde oplossing voor een actieve aanval.
  • Goede back-ups, veilige toegang op afstand en bewustzijn over phishing verkleinen de kans om ooit voor die beslissing te komen staan.
  • Organisaties moeten hun incidentrespons plannen met de aanname dat aanvallers kunnen terugkeren, in plaats van ervan uit te gaan dat betaling een einde maakt aan de dreiging.

Uiteindelijk is het onderzoek een oproep om de focus te verleggen van reactieve betalingsbeslissingen naar proactieve preventie. De bedrijven die het best in staat zijn om een ransomware-aanval te doorstaan, zijn degenen die nooit hoeven te beslissen of betalen het risico waard is.