Het woord "ransomware" roept nog steeds het beeld op van versleutelde bestanden en een organisatie die niet kan werken. Dat beeld is verouderd. In een groeiend deel van de afpersingszaken wordt er helemaal niets meer versleuteld. De aanvaller steelt data, publiceert de naam van het slachtoffer op een lekwebsite en laat het dreigement het werk doen: betaal, of de gegevens van je klanten, patiënten en medewerkers gaan online. Voor wie zijn beveiliging heeft ingericht op "we hebben goede back-ups, dus we redden het wel", is dat een fundamentele verschuiving.
Waarom de aanvaller van strategie is veranderd
Versleutelen is werk, valt op en wordt steeds vaker door detectie gestopt voordat het klaar is. Data stelen is stiller: het loopt via ingebouwde exportfuncties, synchronisatietools en integraties die er routinematig uitzien. En het drukmiddel is sterker geworden. Organisaties betalen zelden meer om hun systemen terug te krijgen; als ze betalen, is het om publicatie te voorkomen. De afpersers weten dat, en spelen erop in.
Ze gebruiken daarbij de regels die bedoeld zijn om jou te beschermen. Groepen dreigen om zelf de toezichthouder te informeren. Ze verwijzen in hun berichten naar meldplichten en boetes onder de AVG en de Cyberbeveiligingswet, en laten zien dat ze precies weten welke data ze hebben. Sommige bieden hun partners zelfs juridisch en PR-advies om de druk te maximaliseren. Het incident is daarmee niet langer een IT-kwestie, maar een juridisch, communicatief en bestuurlijk probleem tegelijk.
En het gaat steeds vaker om data die niet eens bij jou is gestolen, maar bij een leverancier die jouw gegevens verwerkte. Jij wordt afgeperst met wat een ander is kwijtgeraakt.
Wat dit betekent voor je voorbereiding
Back-ups blijven nodig, maar zijn niet meer het antwoord
Onveranderlijke, geteste, losgekoppelde back-ups blijven de basis tegen versleuteling. Tegen publicatie doen ze niets. Dat vraagt om een tweede lijn: voorkomen dat data ongemerkt weg kan.
Datahygiëne als beveiligingsmaatregel
De eenvoudigste manier om niet afgeperst te worden met data, is die data niet hebben. Verwijder wat je volgens je bewaartermijnen niet meer mag of hoeft te bewaren. Elke kopie van een oude klantendatabase, elke export in een gedeelde map, elk archief "voor de zekerheid" is een toekomstig drukmiddel. Classificeer wat je wél bewaart, en laat de gevoelige categorieën bewaakt worden: wie exporteert er ineens duizenden records, welke account synchroniseert een hele bibliotheek naar buiten?
Identiteit als eerste verdediging
De meeste dataroof begint tegenwoordig niet met malware maar met een gekaapt account: een gestolen sessie, een app met te veel rechten, een beheerdersaccount zonder phishing-resistant MFA. Wie zijn identiteiten op orde heeft, haalt de gangbare ingang weg. Wie daarbovenop detecteert op de vroege signalen (afwijkende inlog, nieuwe app-toestemming, massale downloads) heeft een kans om te stoppen voordat er iets te publiceren valt.
Beslissen en communiceren onder druk
Bij data-afpersing is het incident vaak binnen minuten publiek: de naam staat op de lekwebsite, gevolgd door voorbeelddata, gevolgd door vragen van pers en klanten. Het verschil tussen controle en chaos wordt lang daarvoor bepaald. Wie beslist over betalen of niet betalen? Wie informeert de toezichthouder, en binnen welke termijn? Wat is de kernboodschap naar klanten, ook als je nog niet alles weet? Organisaties die dit vooraf hebben vastgelegd en geoefend, komen er anders doorheen dan organisaties die het ter plekke bedenken.
Compliance als hulpmiddel, niet als lijstje
Het is verleidelijk om meldplichten en bewaartermijnen als administratieve last te zien. In dit scenario zijn ze het tegendeel: een organisatie die weet welke data ze heeft, waarom, en hoe lang, die haar leveranciers heeft getoetst en haar incidentproces heeft geoefend, is voor een afperser een slecht doelwit en voor een toezichthouder een goed verhaal. Dat is de reden dat wij security en compliance als één geheel behandelen: wat goed beveiligd is, moet je ook kunnen aantonen. Onze Managed Compliance maakt daar een lopende cyclus van, in plaats van een project dat elk jaar opnieuw begint.