Ransomware? Binnen no time weer online

Enorm gestrest

Elke ransomware-aanval is anders, want geen bedrijf is hetzelfde. Toch verlopen bepaalde zaken bij elke aanval op dezelfde manier, ziet Gevers. ‘Als iemand ons belt, bieden wij eerst een luisterend oor. Vaak moeten mensen hun ei kwijt, ze zijn enorm gestrest. Wij proberen dan een bepaalde rust uit te stralen.’

‘Zo werd ik één keer gebeld door een man met een heel groot bedrijf in de maakindustrie. Hij vertelde: ‘Er wordt 20.000 euro geëist.’ Dus ik zei: ‘Oh, dat valt dus wel mee.’ Dat was voor hem de trigger om te denken, ja, het valt eigenlijk wel mee. Toen ontspande hij. Een incident verloopt veel makkelijker als iemand ontspannen is.’

Zijn er back-ups?

Na dat eerste telefoontje versterken Gevers en Blokhuis hun informatiepositie. ‘We kijken: welke ransomware-groep zit hierachter? Hoe staat de getroffen partij ervoor? Welke systemen zijn bijvoorbeeld onbereikbaar? Wat betekent dat voor het bedrijf?’ Maar de belangrijkste vraag is: zijn er back-ups? En hoe lang het duurt het voordat de back-ups teruggezet kunnen worden?

‘Een jaar of drie geleden kwamen we nog veel partijen tegen die geen back-ups hadden’, zegt Blokhuis. ‘Dan moet je ransom betalen, dan heb je geen andere optie. Maar dat zien we gelukkig steeds minder vaak; de back-ups worden beter.’

Onderhandelen met ransomware-groepen

Pas als Gevers en Blokhuis hun informatiepositie helemaal versterkt hebben, openen zij de chat met de ransomware-groep die achter de aanval zit. Hun doel: het bedrag dat de groep eist zo ver mogelijk verlagen. ‘Onderhandelen met ransomware-groepen is iets waar we heel goed in zijn geworden.’

Het liefst betaalt Blokhuis criminelen geen ransom, dat voorop. ‘Maar in de praktijk merken we dat betalen vaak de snelste route naar herstel is. Het gaat ons om het afwegen van de kosten tegen de baten.’ Hij overlegt tijdens een aanval altijd met de directie van een organisatie over deze afweging.

Dat gaat bijvoorbeeld zo: ‘Stel je staat een dag stil omdat je voor recovery een dag nodig hebt, om de back-ups terug te zetten. Dat betekent 2 miljoen euro verlies – ik zeg maar even wat, dit zijn random getallen. Als we de ransom betalen kost het 2 ton. Met één druk op de knop maken we dat geld over, krijgen we de decryptor en zijn we over 4 uur weer online. Dan betalen we. Dat zijn de rekensommen die gemaakt worden.’

Wel of niet betalen

Wel of niet betalen bij ransomware: het blijft een gevoelige kwestie. De Nederlandse overheid betaalt sowieso niet. ‘Soms doet dat pijn in mijn hart’, zegt Gevers. ‘Soms vraagt een ransomware-groep 10.000 euro. De overheidspartij beslist dan alsnog: ‘We betalen het niet.’ Vervolgens is de schade in de miljoenen.’

Ook per land verschilt de betalingsbereidheid, ziet Gevers: ‘In Engeland is het betalen van een ransom not done. Vrijwel niemand betaalt daar. Ook in Nederland is de betalingsbereidheid beperkt, hoewel de drempel om losgeld te betalen bij Nederlandse bedrijven nu lager is dan een paar jaar geleden. In Duitsland betalen bedrijven vaak juist wel. Ik heb het idee dat dat komt omdat Duitsland meer privacy-minded is.’

Heel soms pakt een betaling onverwacht goed uit. In 2022 wisten Gevers en Blokhuis na ontvangst van de decryptor de betaling van de ransom in te trekken: ‘Een trucje. In dat geval hoefden we dus niks te betalen.’ Ze deelden deze info, waardoor de politie de ransomware-groep in kwestie ruim 155 sleutels kon ontfutselen.

Voldoening

Wanneer is een opdracht geslaagd? ‘Als de klant tevreden is. Ik krijg ook een kick als het echt snel gaat. Dus als je binnen een paar uur de problemen hebt opgelost en de klant zegt: ‘Hè, is het nu al voorbij?’’

Het werk geeft hem ook een zekere voldoening. ‘Een tijdje terug werden we gebeld door een partij die met veel kwetsbare mensen werkte. Die partij liet weten: als de data van deze mensen online komt te staan, levert dat veel problemen op. Heel gevoelige data, dus. We zijn er uiteindelijk lang mee bezig geweest, maar het is helemaal goed gekomen.'