Betalen van ransomware-hackers is geen garantie op vrede

Organisaties die een ransomware-losgeld betalen in de hoop het probleem te laten verdwijnen, doen er wellicht goed aan die strategie te heroverwegen. Nieuw onderzoek waarover TechRadar berichtte, toont aan dat 56% van de slachtoffers die losgeld betaalden weer toegang kreeg tot hun systemen, maar dat meer dan een derde, 37%, kort na de eerste betaling werd geconfronteerd met een tweede afpersingseis. Nog eens 2% betaalde en kreeg hun gegevens helemaal nooit meer terug.

De bevindingen stellen een veelvoorkomende aanname ter discussie, namelijk dat het betalen van een ransomware-eis een eenvoudige transactie is: betalen, een decryptiesleutel krijgen en weer doorgaan. In plaats daarvan suggereert de data dat voor een aanzienlijk deel van de slachtoffers de eerste betaling door aanvallers wordt behandeld als een openingszet in plaats van een oplossing. Dit komt overeen met wat ander recent onderzoek heeft aangetoond. Een apart ransomware-rapport toonde aan dat bijna de helft van de organisaties betaalt en daarna onderhandelt, wat het idee versterkt dat ransomware-betalingen zelden een nette, eenmalige kostenpost zijn.

Waarom hackers voor meer terugkomen

De logica achter een herhaalde afpersingspoging is vanuit het perspectief van de aanvaller eenvoudig. Als een slachtofferorganisatie al heeft aangetoond bereid en in staat te zijn om te betalen, wordt die organisatie een aantrekkelijker doelwit voor vervolgeisen. Ransomware-groepen weten dat bedrijven die onder druk staan om de bedrijfsvoering te herstellen, klantgegevens te beschermen of wettelijke boetes te voorkomen, vaak bereid zijn om opnieuw te betalen in plaats van langdurige downtime of een openbare melding van een datalek te riskeren.

Het onderzoek wijst ook op een andere complicatie in het losgeld-onderhandelingsproces: prijsflexibiliteit. Experts die in het rapport worden geciteerd, merken op dat ransomware-operatoren hun eerste eis vaak verlagen, waarbij sommige kortingen oplopen tot wel 96% van de oorspronkelijke vraagprijs. Dit is geen vrijgevigheid. Het weerspiegelt een onderhandelingsstrategie waarbij het eerste bedrag bewust opgeblazen is en het echte doel simpelweg is om enige betaling, welke betaling dan ook, van het slachtoffer te krijgen. Het begrijpen van deze dynamiek is belangrijk omdat het aantoont dat losgeldeisen geen vaste prijzen zijn die door een rationele markt worden bepaald. Het zijn openingsbiedingen in een onderhandeling die erop gericht is te maximaliseren wat een toch al gestreste organisatie bereid is te betalen.

Alles bij elkaar genomen schetsen de opgeblazen eerste eisen, de forse kortingen en het patroon van herhaalde afpersing een beeld van een ecosysteem dat is gebouwd rond pressiemiddelen in plaats van eerlijke uitwisseling. Zodra een slachtoffer betaalt, hebben aanvallers het bewijs dat druk werkt, en dat gegeven kan opnieuw worden gebruikt, hetzij tegen dezelfde organisatie, hetzij gedeeld binnen criminele kringen als bewijs dat een doelwit de moeite waard is om na te jagen.

Wat dit voor u betekent

Voor zowel individuen, kleine bedrijven als grote ondernemingen is de conclusie niet dat losgeld onder geen enkele omstandigheid ooit betaald mag worden (dat is een beslissing die elke organisatie moet afwegen op basis van haar eigen risicotolerantie en wettelijke verplichtingen). De conclusie is eerder dat betaling nooit behandeld mag worden als een gegarandeerde oplossing. Iedereen die een losgeldbetaling overweegt, moet rekening houden met de mogelijkheid dat het niet de laatste eis zal zijn en dat gegevensherstel niet gegarandeerd is, zelfs niet nadat er geld van eigenaar is gewisseld.

Dit is vooral relevant voor kleinere organisaties en particulieren die wellicht geen toegewijde incidentresponsteams hebben. Hetzelfde ransomware-rapport dat laat zien dat slachtoffers betalen en vervolgens opnieuw onderhandelen onderstreept dat zelfs goed uitgeruste bedrijven moeite hebben om de zaak na een aanval af te ronden. Zonder professionele ondersteuning bij incidentrespons zijn de kansen op een gunstige uitkomst na betaling voor kleinere doelwitten niet noodzakelijkerwijs beter.

De praktische implicatie is dat preventie en voorbereiding veel belangrijker zijn dan onderhandelingsvaardigheden achteraf. Betrouwbare, offline back-ups, geteste herstelprocedures en sterke endpoint-beveiliging verminderen de pressiemiddelen die aanvallers überhaupt hebben. Als een organisatie nooit hoeft te overwegen te betalen omdat ze gegevens uit back-ups kan herstellen, wordt de hele afpersingscyclus, inclusief het risico op een tweede eis, irrelevant.

Concrete actiepunten

Een paar concrete stappen kunnen de blootstelling aan ransomware en de daaropvolgende afpersingscyclus verminderen:

  • Zorg voor regelmatige, geteste back-ups die offline of in een aparte, geïsoleerde omgeving worden opgeslagen, zodat herstel niet afhankelijk is van de medewerking van aanvallers.
  • Behandel elke losgeldbetaling als een zakelijke beslissing met een reëel risico op vervolgeisen, niet als een gegarandeerde oplossing.
  • Betrek wetshandhaving en ervaren incidentresponsprofessionals voordat betalingsbeslissingen worden genomen, aangezien zij vaak inzicht hebben in de reputatie van een aanvallersgroep.
  • Investeer in basale beveiligingshygiëne, waaronder patching, multi-factorauthenticatie en netwerksegmentatie, om de kans om überhaupt slachtoffer te worden te verkleinen.

Uiteindelijk is dit onderzoek een herinnering dat een ransomware-betaling geen echte afsluiting oplevert, maar slechts een kans. Organisaties die plannen voor weerbaarheid in plaats van te vertrouwen op onderhandeling, staan veel sterker, of ze nu ooit met een losgeldeis te maken krijgen of niet.