Wat is er gebeurd met Thialf-ijsstadion

Thialf, het beroemde Nederlandse ijsstadion dat wereldwijd bekendstaat om het organiseren van schaatskampioenschappen, is het nieuwste slachtoffer van een cyberaanval. Volgens Microsoft heeft de groep die achter de inbraak zit, bekend als The Gentlemen, gegevens van de locatie gestolen en dreigt deze op het dark web te publiceren, tenzij er binnen enkele dagen losgeld wordt betaald.

Dit is een schoolvoorbeeld van een double extortion-ransomwarebende aan het werk: aanvallers versleutelen niet alleen bestanden, ze stelen eerst gevoelige gegevens en gebruiken de dreiging van openbare blootstelling als drukmiddel. Voor een instelling als Thialf kan dat betekenen dat personeelsdossiers, financiële informatie, ticketinggegevens of andere operationele details te koop of gratis te downloaden zijn op criminele forums als de deadline verstrijkt zonder betaling.

Hoe het double-extortionmodel van The Gentlemen werkt

Het double extortion-draaiboek is de standaardaanpak geworden voor de meeste serieuze ransomware-operaties, en The Gentlemen lijken hetzelfde patroon te volgen dat in talloze andere gevallen is gedocumenteerd. Eerst dringen aanvallers een netwerk binnen en exfiltreren ze in stilte gegevens voordat ze encryptie inzetten. Pas als de gegevens veilig in hun bezit zijn, vergrendelen ze de systemen van het slachtoffer en laten ze zichzelf zien, vaak met een aftelklok en een dark web-lekpagina als bewijs van wat ze hebben buitgemaakt.

Deze tweeledige druktactiek is ontworpen om de makkelijkste ontsnappingsroute voor slachtoffers af te sluiten. Zelfs een organisatie met degelijke back-ups en het vermogen om versleutelde systemen te herstellen zonder te betalen, staat nog steeds voor de tweede dreiging: openbaarmaking van gestolen bestanden. Die combinatie heeft double extortion veel effectiever gemaakt dan het oudere model met alleen encryptie als dreiging, en het is de reden waarom beveiligingsonderzoekers steeds vaker waarschuwen dat back-ups noodzakelijk zijn, maar op zichzelf niet langer voldoende.

Ransomware-as-a-service en affiliate-werving uitgelegd

Wat groepen als The Gentlemen bijzonder moeilijk uit te schakelen maakt, is dat ze niet opereren als één enkele, strak gecontroleerde groep. De analyse van Microsoft beschrijft de groep als uitgebreid door affiliates te werven via ransomware-as-a-service-constructies, een bedrijfsmodel waarbij een kernteam de malware, onderhandelingsinfrastructuur en lekpagina's bouwt en onderhoudt, en die toolkit vervolgens verhuurt aan onafhankelijke affiliates die de daadwerkelijke inbraken uitvoeren.

Deze franchise-achtige structuur betekent dat een losgeldbetaling niet noodzakelijk naar één brein gaat. Het wordt verdeeld tussen de ontwikkelaars en de affiliate die de aanval heeft uitgevoerd, en het betekent ook dat uitschakeling door wetshandhaving van één groep zelden de onderliggende dreiging elimineert. Affiliates migreren simpelweg naar een ander ransomware-as-a-service-merk en gaan door met werken. Het is een bedrijfsmodel dat is gebouwd op veerkracht, en het is mede de reden waarom ransomware een hardnekkig probleem is gebleven, zelfs terwijl individuele bendes opkomen en verdwijnen. De uitgelekte interne chats die in detail werden beschreven in een BBC-podcastonderzoek naar de Conti-ransomwarebende boden een zeldzame inkijk in hoe zakelijk en hiërarchisch deze operaties achter de schermen kunnen zijn.

Waarom VPN's alleen ransomware niet stoppen, en wat wel helpt

Het is belangrijk om duidelijk te zijn over iets waar veel berichtgeving overheen stapt: een VPN zou een aanval als deze niet hebben voorkomen, en geen enkel afzonderlijk hulpmiddel zal dat doen. Ransomwarebendes komen doorgaans binnen via phishing-e-mails, gestolen inloggegevens, ongepatchte software of blootgestelde externe toegangsdiensten, niet via hiaten waarvoor een consumenten-VPN bedoeld is. Organisaties hebben in plaats daarvan gelaagde verdediging nodig: multi-factor authenticatie, netwerksegmentatie, regelmatige offline back-ups, eindpuntdetectietools en training van personeel om phishingpogingen te herkennen.

De beslissing om wel of niet te betalen is waar het echt moeilijk wordt, en de gegevens hierover zijn ontmoedigend voor iedereen die hoopt dat betaling een schone oplossing garandeert. Een rapport dat werd besproken door Proofpoint over ransomware-betalers die vaak opnieuw worden getroffen vond dat een aanzienlijk deel van organisaties die één keer betalen, een tweede keer doelwit worden, wat suggereert dat betalen een slachtoffer kan markeren als een gemakkelijk doelwit in plaats van het incident af te sluiten. Ook kiest niet elke organisatie ervoor om toe te geven. De Zwitserse fabrikant Stadler Rail heeft publiekelijk een losgeldeis van 12,3 miljoen dollar van de Everest-bende afgewezen, waarmee het aantoont dat weigering een levensvatbaar, zij het moeilijk, pad is dat sommige slachtoffers bewandelen.

Wat dit voor jou betekent

Voor de meeste lezers is het Thialf-incident geen directe dreiging, maar het is een nuttige herinnering aan hoe moderne ransomware-operaties functioneren en waarom ze blijven slagen. Als je bij een organisatie werkt, vooral een organisatie die klant-, personeels- of bezoekersgegevens verwerkt, is de les dat preventie moet plaatsvinden voordat de aftelklok van een aanvaller begint. Als je een Thialf-bezoeker, -medewerker of -partner bent die zich zorgen maakt over je eigen gegevens, let dan op officiële communicatie van de locatie en wees alert op phishingpogingen die verwijzen naar de inbraak, aangezien aanvallers en opportunisten vaak nieuws over een lek gebruiken voor vervolgscams.

Praktische adviezen

  • Ga ervan uit dat elke organisatie die jouw gegevens bewaart te maken kan krijgen met een double extortion-ransomwarebende; vraag bedrijven waarmee je contact hebt hoe hun incidentrespons en gegevensbeschermingspraktijken eruitzien.
  • Als je IT-systemen beheert, geef dan prioriteit aan multi-factor authenticatie, patching en offline back-ups boven elk afzonderlijk beveiligingsproduct, inclusief VPN's.
  • Ga er niet vanuit dat het betalen van losgeld een incident netjes oplost. Er zijn aanwijzingen dat herhaaldelijk doelwit worden veel voorkomt bij organisaties die betalen.
  • Let op phishing-e-mails die verwijzen naar de Thialf-inbraak of vergelijkbare incidenten, aangezien aanvallers vaak publiek nieuws over inbraken gebruiken voor vervolgscams.
  • Volg hoe getroffen organisaties de komende dagen reageren. De beslissing van Thialf om wel of niet te betalen zal een nieuw gegevenspunt toevoegen aan het voortdurende debat over losgeldbetalingen.

Nu ransomware-as-a-service-operaties zoals The Gentlemen doorgaan met het werven van affiliates en het verfijnen van double extortion-tactieken, is het waarschijnlijk dat incidenten zoals die bij Thialf de krantenkoppen blijven halen. Op de hoogte blijven van hoe deze aanvallen zich ontvouwen en organisaties waarvan je afhankelijk bent aansporen preventie serieus te nemen, blijft een van de meest praktische stappen die voor het publiek beschikbaar zijn.