Waarom ransomware-aanvallen nu draaien om datadiefstal, niet om versleuteling

Jarenlang was het standaard draaiboek voor ransomware eenvoudig: binnendringen, bestanden versleutelen, betaling eisen voor de decryptiesleutel. Back-ups waren het antwoord. Systemen herstellen, het losgeldbriefje negeren, doorgaan. Dat draaiboek is grotendeels achterhaald.

De ransomware-groepen van vandaag hebben zich aangepast aan het feit dat veel organisaties prima herstellen van versleuteling. Dus hebben ze de pressiemiddelen verlegd. Voordat ze iets op slot doen, kopiëren aanvallers nu in stilte gevoelige bestanden, financiële administratie, personeelsgegevens, klantinformatie van het netwerk. Versleuteling is bijna bijzaak geworden, soms wordt die zelfs helemaal overgeslagen. De echte dreiging is een openbare leksite waar gestolen data wordt gepubliceerd als er niet wordt betaald. Dit is de dreiging van ransomware-data-afpersing die beveiligingsonderzoekers nauwlettend volgen, en het verandert wat ‘voorbereid zijn’ werkelijk betekent voor organisaties van elke omvang.

Dit patroon beperkt zich niet tot één regio of sector. In rapportages over ransomware-incidenten in India bleek bijvoorbeeld dat de meerderheid van de aanvallen nu draait om datadiefstal in plaats van pure versleuteling, aldus Proofpoints analyse van ransomware-activiteit daar. Dezelfde dynamiek speelt zich dichter bij huis af, ook in het grootstedelijk gebied van St. Louis.

Wat bekend is over de incidenten in St. Louis en omgeving

Volgens berichtgeving van CHR Solutions, een IT- en cybersecuritybedrijf uit St. Louis, zijn de afgelopen maanden schoolsystemen, stadsnetwerken en lokale bedrijven in de metropoolregio getroffen door ransomware. Het bedrijf, dat rechtstreeks met regionale organisaties werkt om beveiligingslekken te dichten, schetst dit als een lokaal en terugkerend probleem in plaats van een ver-van-mijn-bed-show. Specifieke details over individuele incidenten zijn in de beschikbare rapportages beperkt, maar het beschreven patroon weerspiegelt wat er landelijk gebeurt: netwerken in de publieke sector en kleine tot middelgrote bedrijven zijn vaak het doelwit, vaak omdat ze minder toegewijde beveiligingsmiddelen hebben dan grote ondernemingen.

Schooldistricten en gemeentelijke netwerken zijn bijzonder aantrekkelijke doelwitten voor op afpersing gerichte aanvallen. Ze bezitten grote hoeveelheden persoonsgegevens, waaronder dossiers van leerlingen, medewerkers en inwoners, en staan vaak onder publieke druk om verstoring te voorkomen, wat de kans groter maakt dat ze onderhandelen. Wanneer aanvallers weten dat de pressie niet alleen is ‘kunt u functioneren zonder uw bestanden’, maar ‘kunt u het zich veroorloven dat deze gegevens openbaar worden’, neemt de druk om te betalen aanzienlijk toe.

Hoe dubbele afpersing de rekensom voor kleine en middelgrote bedrijven verandert

Dubbele afpersing – systemen versleutelen en tegelijk dreigen gelekte gestolen data te publiceren – verandert de risicovergelijking voor kleinere organisaties fundamenteel. Een bedrijf met solide, geteste back-ups had vroeger een duidelijk herstelpad: herstellen en opnieuw opbouwen. Maar back-ups beletten niet dat een leksite klantcontracten, burgerservicenummers van werknemers of bedrijfseigen bedrijfsdata plaatst.

Dit is enorm belangrijk voor kleine en middelgrote bedrijven die misschien denken dat back-ups alleen al voldoende verdediging tegen ransomware vormen. Een recent voorbeeld van hoe dergelijke lekdreigingen in de praktijk uitpakken is de aanval die de Play-ransomwaregroep claimde op Kreysler & Associates, waarbij de groep haar gebruikelijke werkwijze volgde door te dreigen gestolen gegevens te publiceren in plaats van uitsluitend op versleuteling te vertrouwen om betaling af te dwingen. Zaken als deze illustreren dat de onderhandelingsmacht van aanvallers is verschoven van ‘we hebben uw systemen vergrendeld’ naar ‘we hebben uw data en we zullen die openbaar maken’. Dat is een reputatie-, juridisch en regelgevingsrisico dat back-upherstel simpelweg niet kan verhelpen.

Voor kleinere organisaties zonder eigen beveiligingsteams betekent deze verschuiving dat incidentresponsplanning rekening moet houden met scenario’s van databootstelling, niet alleen met systeemuitval.

Praktische verhardingsstappen die het afpersingsrisico aanpakken

Back-ups blijven essentieel, maar zijn op zichzelf niet langer toereikend. Organisaties die het afpersingsrisico serieus willen verlagen, moeten zich richten op een paar gebieden die verder gaan dan traditioneel noodherstel:

  • Beperk wat aanvallers kunnen stelen. Verminder gegevensbewaring waar mogelijk en segmenteer netwerken zodat één gecompromitteerd account niet toegang geeft tot alles.
  • Monitor op exfiltratie, niet alleen op versleuteling. Detectietools die ongebruikelijke uitgaande gegevensoverdrachten markeren, kunnen een aanval onderscheppen voordat bestanden het netwerk verlaten, vaak eerder dan op versleuteling gerichte monitoring dat zou doen.
  • Versterk identiteitscontroles. Multi-factor-authenticatie en strikt beheerde geprivilegieerde accounts blijven tot de meest effectieve barrières behoren tegen de initiële toegang die aanvallers nodig hebben om überhaupt data te stelen.
  • Bouw een incidentresponsplan dat lekdreigingen adresseert. Juridische, communicatie- en meldingsstappen voor toezichthouders moeten vóór een aanval in kaart zijn gebracht, niet tijdens.

Wat dit voor u betekent

Als het ransomware-plan van uw organisatie nog steeds voornamelijk draait om back-up- en herstelprocedures, pakt het de dreiging van gisteren aan. De dreiging van ransomware-data-afpersing betekent dat het echte risico vaak is wat aanvallers al hebben gekopieerd voordat u überhaupt een probleem opmerkte. Dit geldt of u nu een schooldistrict, een gemeentelijk kantoor of een klein bedrijf bent dat klantgegevens verwerkt. Ervan uitgaan dat u te klein bent om doelwit te zijn, is geen veilige gok meer; kleinere organisaties worden vaak juist gekozen omdat ze minder verdediging hebben.

Belangrijkste punten

  • Ransomware-aanvallen geven steeds vaker prioriteit aan datadiefstal en lekdreigingen boven pure versleuteling, een patroon dat zowel regionaal als internationaal zichtbaar is.
  • Herstellen van versleuteling met back-ups neemt het risico niet weg dat gestolen gegevens worden gepubliceerd.
  • Kleine en middelgrote organisaties, waaronder scholen en gemeentelijke netwerken, blijven vaak doelwit vanwege beperkte beveiligingsmiddelen.
  • Effectieve verdediging vereist nu monitoring op data-exfiltratie, het aanscherpen van toegangscontroles en het plannen van incidentrespons rond de mogelijkheid van een openbaar lek, niet alleen systeemuitval.