Aanvallers herschrijven het ransomware-stappenplan

Jarenlang was het standaardadvies om een ransomware-aanval te overleven eenvoudig: zorg voor goede back-ups, en je kunt je systemen herstellen zonder losgeld te betalen. Dat advies is niet langer voldoende op zichzelf. Een nieuw rapport van Helixstorm wijst op een zorgwekkende verschuiving in ransomware-aanvallen op back-ups: dreigingsactoren gaan nu op jacht naar back-upinfrastructuur voordat ze ook maar één productiebestand aanraken.

Volgens het rapport zoeken aanvallers eerst de back-upconsole op voordat ze een enkel bestand aanraken, verkorten ze bewaartermijnen in plaats van back-ups volledig te verwijderen, en beschadigen ze hersteldata stilletjes zodat slachtoffers pas beseffen dat hun vangnet weg is wanneer het te laat is. Dit is een bewuste strategie. Als een bedrijf zijn systemen kan herstellen vanaf een back-up, verliest de losgeldcis zijn hefboomwerking. Aanvallers hebben zich daarom aangepast door ervoor te zorgen dat herstel geen optie is.

Deze tactiek is niet van de ene op de andere dag ontstaan. Ransomware-operators hebben jarenlang dubbele-afpersingsmethoden verfijnd, waarbij gestolen data als extra hefboom wordt gebruikt, zelfs na versleuteling, zoals te zien is in gevallen als CRPx0-ransomware's dubbele-afpersingsaanpak. Het eerst targeten van back-ups is simpelweg de volgende logische stap: elimineer de opties van het slachtoffer voordat de aanval zelfs maar zichtbaar wordt.

Waarom dit belangrijk is voor privacy, niet alleen voor bedrijfscontinuïteit

De meeste berichtgeving over ransomware die back-ups target, richt zich op bedrijfscontinuïteit: hoe lang systemen uit de lucht zijn, hoeveel losgeld kost, hoe snel bedrijfsactiviteiten worden hervat. Maar er is een privacydimensie die meer aandacht verdient.

Wanneer aanvallers een back-upconsole compromitteren, bedreigen ze niet alleen je vermogen om bestanden te herstellen. Ze krijgen vaak ook toegang tot historische kopieën van gevoelige data, waaronder klantgegevens, financiële details, gezondheidsinformatie of persoonlijke gegevens van werknemers die mogelijk van live systemen zijn verwijderd maar nog steeds in back-uparchieven bestaan. Een beschadigde of geëxfiltreerde back-up kan in één keer maanden of jaren aan bewaarde persoonlijke informatie blootleggen, veel meer dan wat er op een enkele productieserver zou kunnen staan.

Dit maakt deel uit van een breder patroon waarin ransomwaregroepen hun bedrijfsmodellen aanpassen om maximale hefboomwerking te creëren. De recente FBI-waarschuwing over de uitbreiding van Gunra-ransomware naar een volledig ransomware-as-a-service-model laat zien hoe deze tactieken zich snel verspreiden zodra ze effectief blijken. Wanneer één groep succes vindt met het eerst aanvallen van herstelsystemen, wordt de techniek verpakt en verkocht aan aangeslotenen, waardoor het aantal organisaties dat met dezelfde dreiging wordt geconfronteerd vermenigvuldigt.

Kleinere organisaties zijn niet uitgezonderd. Onderzoek naar toenemende ransomware-detecties onder kleine en middelgrote bedrijven, waaronder bevindingen uit India begin 2026, suggereert dat aanvallers een breed net uitwerpen in plaats van zich alleen op grote ondernemingen te richten. Back-upinfrastructuur bij kleinere bedrijven wordt vaak minder bewaakt en minder gesegmenteerd, waardoor het een gemakkelijker doelwit is voor juist deze tactiek.

Het pleidooi voor onveranderlijke, air-gapped back-ups

Het Helixstorm-rapport wijst op onveranderlijke en air-gapped back-upsystemen als de sterkste verdediging tegen deze trend. Onveranderlijke back-ups kunnen gedurende een vastgestelde bewaarperiode niet worden gewijzigd of verwijderd, zelfs niet door iemand met beheerdersrechten. Air-gapped back-ups zijn fysiek of logisch geïsoleerd van het hoofdnetwerk, wat betekent dat een aanvaller die productiesystemen compromitteert niet simpelweg kan doorschakelen naar de back-upomgeving.

Samen sluiten deze twee benaderingen de kloof die ransomwaregroepen hebben geleerd te exploiteren. Als aanvallers een back-up niet kunnen bereiken of wijzigen, wordt het verkorten van bewaartermijnen of het beschadigen van herstelpunten veel moeilijker. Dit elimineert het risico niet volledig, maar het verwijdert wel de gemakkelijkste weg die aanvallers momenteel gebruiken om een slachtoffer zijn hefboomwerking te ontnemen.

Branchebreed is dit een teken dat ransomware niet is vertraagd, het is simpelweg geëvolueerd. Recente analyses die laten zien dat ransomware-activiteit in 2025 eerder herschikte dan afnam ondersteunen dit idee. Aanvallers verdwijnen niet; ze verfijnen welke delen van de infrastructuur van een organisatie ze eerst aanvallen.

Wat dit voor jou betekent

Als je de IT-infrastructuur van een bedrijf beheert, of zelfs alleen maar back-ups voor een klein team overziet, verandert deze verschuiving wat "goede back-up-hygiëne" inhoudt. Het is niet langer voldoende om regelmatig back-ups te draaien. Je moet verifiëren dat die back-ups daadwerkelijk beschermd zijn tegen manipulatie, dat de toegang tot back-upconsoles strikt beperkt en bewaakt is, en dat herstelpunten regelmatig worden getest in plaats van dat wordt aangenomen dat ze werken.

Voor gewone consumenten is de boodschap indirecter maar nog steeds belangrijk. Wanneer een bedrijf waar jij zaken mee doet een ransomware-aanval ondergaat die ook zijn back-ups compromitteert, kan de omvang van blootgestelde persoonlijke gegevens groter zijn dan aanvankelijk gerapporteerd. Het is de moeite waard om aandacht te besteden aan datalekmeldingen die specifiek back-up- of archiveringssystemen vermelden, omdat dat vaak wijst op een bredere gegevensexpositie dan bij een typisch eenmalig systeemlek.

Belangrijkste conclusies

Ransomware-aanvallen op back-ups vormen een betekenisvolle verschuiving in hoe deze dreigingen opereren, en de implicaties gaan verder dan downtime en losgeldbetalingen. Organisaties moeten controleren of hun back-ups echt onveranderlijk en geïsoleerd zijn van het hoofdnetwerk, verifiëren wie toegang heeft tot back-upbeheerconsoles, en herstelprocedures regelmatig testen in plaats van back-ups te behandelen als een eenmalig ingesteld vangnet. Consumenten moeten alert blijven op hoe bedrijven de omvang van een datalek beschrijven, vooral wanneer back-upsystemen worden genoemd, omdat dat vaak wijst op een grotere hoeveelheid blootgestelde persoonlijke gegevens dan de eerste kop suggereert.