"Betaal niet aan internetcriminelen", benadrukt de politie. "Je houdt het verdienmodel in stand, en je hebt geen garantie dat je data veilig zijn."
Toch betalen bedrijven zo regelmatig dat het voor ransomware-groepen loont om structureel bedrijven aan te vallen. De relatief nieuwe ransomware-groep Nova, die Clinical Diagnostics succesvol aanviel en data dreigt te publiceren van Bevolkingsonderzoek Nederland, is slechts een van de vele.
ICT-beveiliger Pim Takkenberg, die gehackte bedrijven bijstaat, snapt wel dat bedrijven betalen. "Natuurlijk houd je het systeem in stand. Maar als jouw geliefde wordt ontvoerd, dan wil je ook gewoon je geliefde terug."
In dit geval gaat het niet om mensen van vlees en bloed, maar om gevoelige data die als drukmiddel worden gebruikt. Niet betalen betekent dat die informatie wordt gepubliceerd.
Dat heeft ook risico's: als gegevens worden gepubliceerd van klanten of werknemers, kunnen zij slachtoffer worden van oplichting. Takkenberg: "Dan zie je dat bedrijven vaak alsnog betalen."
Opnieuw betalen
Vanmorgen bleek de ransomware-groep Nova meer losgeld te vragen aan Clinical Diagnostics: minimaal 1,1 miljoen euro. Dat zou het bedrag zijn dat een externe koper voor de gestolen data in de vorm van 11 bitcoins wilde betalen.
De criminelen voeren daarbij als reden aan dat Clinical Diagnostics een afspraak met Nova zou hebben geschonden. Waarschijnlijk gaat het om het betrekken van de politie bij het datalek. De politie laat echter aan de NOS weten dat Clinical Diagnostics geen aangifte heeft gedaan, maar dat de politie wel onderzoek doet naar de hack.
Het publiceren van data als drukmiddel is relatief nieuw. In eerste instantie was ransomware enkel gericht op het platleggen van een bedrijf: alle bestanden werden ontoegankelijk gemaakt, met een cryptografische sleutel die enkel de oplichters hebben. Betalen is nodig om die sleutel te krijgen en de bestanden weer te kunnen openen.
Maar als een bedrijf goede back-ups van belangrijke bestanden heeft gemaakt, is er weinig reden meer om te betalen: het weren van de indringers uit het bedrijfsnetwerk en het terugzetten van bestanden is voldoende.
Nu steeds meer bedrijven dat goed op orde hebben, zijn ransomwaregroepen de afgelopen jaren overgestapt op een nieuw model: eerst zo veel mogelijk gevoelige gegevens stelen, en dan pas het netwerk op slot zetten. De gestolen privégegevens zijn een succesvol extra drukmiddel: zo betaalde de voetbalbond KNVB om die reden losgeld.
Beloften
De criminelen houden zich vervolgens vaak goed aan de afspraken, zegt Tom Sturme van beveiligingsbedrijf Nerium. "Als je betaalt, dan gooien ze de gegevens niet openbaar op internet."
Vaak doen de criminelen daarbij ook allerlei andere beloften, zoals een rapport met informatie over hoe de aanvallers zijn binnengekomen en de afspraak dat het slachtoffer het komende jaar niet opnieuw wordt aangevallen.
Tegelijkertijd blijven het criminelen, en is er geen garantie dat de gegevens bijvoorbeeld niet alsnog ergens terechtkomen. "Dat is bijvoorbeeld gebeurd bij de Conti-groep, die samenwerkte met de Russische overheid", zegt Sturme.
Dat de Nova-groep nu opnieuw losgeld eist, is echter wel uitzonderlijk, zegt Takkenberg. "Ik heb het op deze manier nooit eerder gezien. De professionele ransomware-groepen houden zich keurig aan hun afspraken."
Bluf
In het geval van Clinical Diagnostics suggereert Nova dus opnieuw losgeld te willen omdat het bedrijf contact zou hebben gehad met de politie. Tegelijkertijd zou een koper geïnteresseerd zijn in de gestolen data. Volgens ICT-beveiliger Sturme is het goed mogelijk dat Nova bluft. "Als je nu 1,1 miljoen euro kan verdienen, waarom zou je dan eerst teruggaan naar je slachtoffer?"
Hoe dan ook adviseert de politie om altijd contact op te nemen, hoewel veel ransomwaregroepen dat verbieden. "Doe aangifte, want we hebben eerder ook laten zien dat we echt infrastructuur uit de lucht kunnen halen en groepen kunnen aanpakken", zegt Stan Duijf, hoofd operaties high tech crime bij de politie.
De Autoriteit Persoonsgegevens sluit zich daarbij aan. Bedrijven moeten zich vooral beter beschermen, laat de instantie weten in een schriftelijke verklaring. "We zien dat het risico op digitale aanvallen te laag wordt ingeschat." En als er data worden gestolen, is een melding bij de Autoriteit Persoonsgegevens verplicht, tekent de waakhond aan. Ook als er is betaald.
