Amerikaanse overheidsinstantie betaalt $1 miljoen aan Kairos na diefstal van 2 TB aan gegevens

Een betaling van zes cijfers zonder ransomware

Een Amerikaanse overheidsinstantie betaalde ongeveer $1 miljoen in Bitcoin aan een datapersingsgroep genaamd Kairos, volgens een casestudy van Ransom-ISAC. De betaling, gedaan rond 13 juni 2025, valt op omdat Kairos geen ransomware gebruikte om systemen te vergrendelen. In plaats daarvan stal de groep naar verluidt meer dan 2 TB aan gevoelige gegevens en dreigde die openbaar te maken tenzij de instantie betaalde.

Dit onderscheid is belangrijk. Traditionele ransomware-aanvallen versleutelen bestanden en eisen losgeld voor een decoderingssleutel, waardoor zichtbare operationele verstoring ontstaat die moeilijk te verbergen is. Data-afpersing werkt anders: aanvallers sluizen stilletjes bestanden naar buiten en dreigen vervolgens met openbaarmaking. Er is geen gecrasht netwerk, geen losgeldbrief op bevroren schermen, alleen een privé-ultimatum en een aftelklok. Daardoor zijn zulke incidenten gemakkelijker buiten de openbaarheid te houden en moeilijker voor externe onderzoekers of toezichthouders om onafhankelijk te verifiëren.

Wie is Kairos, en waarom werkt deze aanpak?

Kairos lijkt gespecialiseerd te zijn in precies dit draaiboek: binnendringen bij een organisatie, zoveel mogelijk gegevens exfiltreren en vervolgens de dreiging van openbaarmaking te gelde maken in plaats van de dreiging van uitval. Onderzoekers die de groep volgen, hebben niet bevestigd dat Kairos ooit ransomware heeft ingezet, wat duidt op een weloverwogen strategische keuze. Aanvallen die alleen op afpersing gericht zijn, kunnen goedkoper uit te voeren zijn, moeilijker realtime te detecteren en vaak financieel sneller afgewikkeld worden omdat slachtoffers geen versleutelde systemen hoeven te herstellen – het lek hoeft alleen maar te stoppen.

Voor een overheidsinstantie ligt de afweging om te betalen extra gevoelig. Federale, staats- en lokale overheden ontraden doorgaans het betalen van losgeld, met de redenering dat betalingen toekomstige aanvallen financieren en geen garantie bieden dat gestolen gegevens daadwerkelijk worden verwijderd. Toch lijken sommige instanties, wanneer het alternatief een openbare dump van gevoelige dossiers is, te besluiten dat het directe risico opweegt tegen het precedent op de lange termijn. De rapportage van Ransom-ISAC vermeldt niet welke instantie betrokken was, wat voor soort gegevens is gestolen, of dat de betaling publicatie daadwerkelijk heeft gestopt – allemaal details die normaal gesproken bepalen hoe serieus het publiek dit incident zou moeten nemen.

Waarom betaling door een overheid zorgen over privacy oproept

De kern van het privacyprobleem is niet alleen dat er een inbreuk heeft plaatsgevonden; het is dat het publiek erover hoorde via een threat intelligence-rapport in plaats van via de instantie zelf. Overheidstransparantie rondom data-incidenten is op zijn best wisselvallig, en aanvallen die alleen op afpersing gericht zijn, zijn uitermate geschikt om onder de radar te blijven. In tegenstelling tot een ransomware-aanval die diensten platlegt en publieke erkenning afdwingt, kan een stille betaling voor datadiefstal worden afgerond en gesloten zonder ooit een kop te halen, tenzij een derde partij zoals Ransom-ISAC het naar boven brengt.

Dit patroon weerspiegelt bredere spanningen rond het omgaan met en openbaar maken van overheidsgegevens. Dezelfde vragen die discussies over warrant canaries voeden – namelijk hoeveel zicht het publiek daadwerkelijk heeft op wat er met hun gegevens gebeurt zodra die in handen van overheid of bedrijf zijn – zijn hier rechtstreeks van toepassing. Als een instantie in stilte een afpersingsgroep kan afbetalen zonder de omvang van een inbreuk te onthullen, krijgen getroffen personen misschien nooit te horen dat hun informatie is gecompromitteerd, laat staan of die uiteindelijk toch is gelekt.

Er is ook een verband met aanhoudende debatten over het databeschermingsbeleid. Discussies rond de CLARITY Act en encryptie-achterdeuren laten zien hoe wetsvoorstellen rond datatoegang en encryptiestandaarden direct van invloed zijn op hoe blootgelegd gevoelige gegevens überhaupt zijn. Zwakkere encryptiestandaarden of verplichte toegangspunten maken datadiefstal makkelijker en betalingen zoals deze waarschijnlijker.

Wat dit voor jou betekent

Als je met een Amerikaanse overheidsinstantie te maken hebt, of dat nu via belastingaangifte, aanvragen voor uitkeringen, vergunningverlening of openbare registers is, kunnen jouw gegevens zich bevinden in systemen die doelwit zijn van precies dit soort afpersingspogingen. Dat deze betaling alleen via derdepartij-rapportage door threat intelligence openbaar werd, en niet via officiële bekendmaking, betekent dat personen die door een inbreuk getroffen zijn, hier mogelijk niet via normale kanalen achter komen. Je ontvangt misschien niet snel, of helemaal geen, melding van de inbreuk als de betrokken instantie kiest voor een stille afhandeling boven publieke openbaarmaking.

Dit betekent niet dat paniek gerechtvaardigd is. Het betekent dat je door de overheid bewaarde gegevens behandelt zoals je elk ander gevoelig account zou behandelen: ga ervan uit dat het uiteindelijk blootgelegd kan worden, en plan dienovereenkomstig in plaats van te wachten op een officiële mededeling die misschien nooit komt.

Concrete actiepunten

• Houd je kredietrapporten in de gaten en overweeg een kredietbevriezing als je in het verleden gevoelige informatie bij een overheidsinstantie hebt ingediend, want meldingen van inbreuken zijn niet altijd tijdig of volledig.
• Gebruik unieke, sterke wachtwoorden voor alle overheidsportals (belastingen, uitkeringen, vergunningen) en schakel multi-factor authenticatie in waar dat wordt aangeboden.
• Volg onafhankelijke beveiligingsonderzoekers en threat intelligence-groepen, niet alleen officiële verklaringen van instanties, want incidenten zoals deze komen vaak eerst via externe rapportage naar buiten.
• Steun oproepen tot duidelijkere meldplicht bij datalekken voor publieke entiteiten, aangezien betalingen bij data-afpersing anders verborgen kunnen blijven voor de mensen die daadwerkelijk getroffen zijn.

De betaling van $1 miljoen aan Kairos herinnert eraan dat data-afpersing geen ransomware nodig heeft om effectief te zijn, en dat overheidstransparantie rond dit soort incidenten nog een lange weg te gaan heeft. Op de hoogte blijven van hoe deze aanvallen werken, en hoe openbaarmaking verloopt, is een van de weinige middelen die mensen hebben om zichzelf te beschermen wanneer hun gegevens in andermans handen zijn.