4 belangrijke trends in ransomware en hoe daarmee om te gaan

2. Meer organisaties worden genoemd op leak sites

Niemand weet hoeveel ransomware-aanvallen er precies plaatsvinden per jaar, want harde cijfers ontbreken. Maar het aantal organisaties dat op een zogenoemde dark web leak site terecht komt blijft groeien, ziet Pols. Wat betekent dat?

‘Als een organisatie niet van plan is losgeld te betalen, dan dreigen ransomware-groepen vaak om gegevens openbaar te maken. Dan wordt er op de website van zo’n ransomware groep gezegd: ‘We hebben de KNVB gehackt. Ze hebben 10 dagen om te betalen. Doen ze dat niet, dan maken we hun data openbaar.’’

In de eerste negen maanden van 2023 zijn evenveel organisaties op zo’n leak site genoemd als in heel 2022. ‘Als je naar die cijfers kijkt, dan lijkt het aantal ransomware-aanvallen wereldwijd dus te stijgen. Het kan natuurlijk ook zijn dat organisaties vaker op een leak site terecht komen omdat ze steeds minder geneigd zijn om te betalen. Maar die indicatie hebben wij niet.’

‘We weten uit meerdere bronnen, bijvoorbeeld via de opgerolde groep Hive, dat ongeveer 80% van de ransomware-slachtoffers losgeld betaalt voordat ze op een leak website worden geplaatst. Dat betekent dat het daadwerkelijke aantal ransomware-aanvallen waarschijnlijk ongeveer vijf keer zo hoog is als het aantal slachtoffers dat op leak sites wordt gepubliceerd.’

3. De discussie over het betalen van losgeld verhardt

Moet je wel of niet betalen bij ransomware? Die simpele vraag wordt hoe langer hoe meer een mijnenveld, vooral nu grote ransomware-aanvallen vaker voorkomen. De KNVB, die losgeld betaalde aan LockBit, kreeg een berisping van de Autoriteit Persoonsgegevens, voor het ‘in stand houden van een verwerpelijk verdienmodel.’

Pols, die naast cybersecurity ook filosofie studeerde, ziet in de discussie duidelijk een botsing van twee soorten belangen en gedrag. Hij legt uit: ‘In de filosofie zijn twee manieren om het handelen van mensen aan te duiden: rationeel en redelijk. De rationele handeling is de handeling die logisch is voor een individu in een bepaalde positie; vaak gedreven door het eigen belang. De redelijke handeling gaat uit van het belang van de groep: als iedereen in een bepaalde situatie redelijk zou handelen, zou dat het beste resultaat opleveren voor iedereen.’

Botsende belangen

Deze twee belangen botsen als het om ransomware gaat, benadrukt Pols: ‘Het belang van een individuele organisatie is: zorgen dat de schade van een aanval op de organisatie zoveel mogelijk wordt beperkt. Het kan soms goedkoper zijn om losgeld te betalen dan een verlies aan gegevens te accepteren. Vanuit een maatschappelijk belang wil je juist dat een organisatie voor de verliesgevende optie kiest – zelfs bij wijze van spreken eerder failliet gaat dan betaalt. Want als samenleving wil je uiteindelijk het signaal uitsturen: ‘wij betalen niet.’’

Wat is de oplossing voor deze botsende belangen? ‘Wetgeving kan ervoor zorgen dat wat rationeel en wat redelijk is op één lijn komen. Dat zie ik ook als taak van de overheid in een kwestie als deze: de spelregels zo inrichten dat als organisaties daarbinnen handelen in hun eigen belang, dit niet botst met het maatschappelijk belang. Zo zou je bijvoorbeeld kunnen vereisen dat organisaties voor herstellen kiezen, ook als dat de duurdere optie is - zo lang dat het voortbestaan van de organisatie niet bedreigt.’

4. Professionele onderhandelaars veranderen het speelveld

Als organisaties na een ransomware-aanval besluiten het geëiste losgeld te betalen, huren ze steeds vaker een professionele onderhandelaar in, om het bedrag in ieder geval te verlagen. Die ontwikkeling blijft niet zonder gevolgen, ziet Pols: ‘De inzet van professionele onderhandelaars zet het verdienmodel van ransomware-groepen onder druk.’

Pols: ‘Professionele onderhandelaars kunnen ransomware-operators soms bewegen tot flinke kortingen: soms wel tot 90% korting op de originele eis. Een operator, die de aanval feitelijk uitvoert, is misschien net nieuw en daarom eerder geneigd om een klein bedrag te accepteren in plaats van de kans op betaling af te schrijven. Je ziet nu dat sommige ransomware-groepen hier maatregelen tegen nemen.’

Prijsafspraken over losgeld

Ironisch genoeg proberen sommige ransomware-groepen ook het individuele belang en het groepsbelang op één lijn te brengen, zegt Pols: ‘Je ziet bijvoorbeeld een discussie over het vaststellen van minimumbedragen en maximumkortingen voor de losgeldeis. Bijvoorbeeld: je moet als operator minimaal 3% van de jaaromzet van het slachtoffer eisen. Je mag korting geven, maar maximaal 50%, zodat minimaal 1,5% van de omzet als losgeldeis overblijft.’ Ransomware-actoren maken dus prijsafspraken over de hoogte van losgeld.

Wat betekenen deze trends voor uw organisatie?

‘Er is niet één ‘silver bullet’ om een organisatie te beschermen tegen ransomware’, zegt Pols. Eén aandachtspunt: het beschermen van de interne infrastructuur. ‘Omdat actoren meer verschillende manieren vinden om binnen te dringen, wordt het nog belangrijker om het interne netwerk goed te beschermen. Bij veel organisaties is juist dat het meest kwetsbaar. Maar één gecompromitteerde laptop van een medewerker kan leiden tot een situatie waarin een ransomware-groep de volledige IT-infrastructuur onder controle krijgt.’

Beter dan genezen

De kans dat een organisatie getroffen wordt door een ransomware-aanval lijkt nog steeds groter te worden. De prijsafspraken over losgeldeisen geven een inkijkje in de directe schade waar in zo'n geval rekening mee moet worden gehouden. ‘Maar een ransomware-aanval veroorzaakt veel meer schade - van reputatieschade tot schade aan het mentale welzijn van medewerkers. Het devies voor het weerbaarder worden tegen ransomware-aanvallen blijft dan ook: voorkomen is beter dan genezen.’