Waarom ransomware nog steeds groeit en wat je ertegen kan doen.

Als je het gevoel hebt dat ransomware nu eigenlijk zou moeten afnemen, sta je daar niet alleen in. We zien allemaal de krantenkoppen: handhavingsoptredens tegen grote organisaties, nieuwe regelgeving, geavanceerde beveiligingstools, AI. Toch zien we in de praktijk dat ransomware-incidenten blijven stijgen. 

Als je erover nadenkt, betekenen al die nieuwe ontwikkelingen dat ransomware niet louter een technisch probleem is. Dat klopt: het is een ‘business risk’, een operationeel risico. Daarmee is het een onderdeel van een systeem, een groter geheel binnen de organisatie en dan betekent het dat systeem dus op bepaalde plekken zwakker is. Na wat onderzoek blijkt dat aanvallers zeer bedreven zijn geworden in het exploiteren van de gaten tussen "beveiliging hebben" en werkelijk weerbaar zijn tegen cyberincidenten. Laat me dat uitleggen. 

Waarom Ransomware blijft groeien. 

Ransomware is niet verdwenen; het is geëvolueerd. De ransomware-groepen van vandaag opereren als bedrijven. Zij gebruiken Ransomware-as-a-Service (RaaS), waarbij ontwikkelaars de tools bouwen en hun klanten de aanvallen daarin uitvoeren. Dit verlaagt de drempel voor vaardigheden, waardoor het aantal aanvallers toeneemt, en net als een bedrijf versnelt dit de innovatie aan de criminele kant. 

Tegelijkertijd hebben aanvallers hun tactieken verschoven: 

• Gestolen credentials in plaats van malware: Het is vaak gemakkelijker om in te loggen dan om binnen te breken. Een hack zetten met een gestolen wachtwoord is eenvoudiger dan in te breken met kwaadaardige software. 
• Dubbel en drievoudig chantage: Versleuteling van systemen is slechts één deel van de druk; gestolen data en public exposure verhogen de hefboomwerking. 
• Snelheid: Veel aanvallen gaan van initiële toegang tot losgeld in dagen, soms uren. Quick money. 
• Doelstelling naar operaties: Aanvallers richten zich op systemen die het bedrijf het snelst verstoren, niet enkel op IT. 

Kortom: ransomware slaagt omdat het een grote impact heeft op de bedrijfsvoering. 

Het valse veiligheidsgevoel dat de zaken verergert 

De meeste organisaties negeren beveiliging niet. Ze schieten echter vaak tekort in het begrijpen van hoe ze dit het beste kunnen integreren in hun systemen en processen. We horen bijvoorbeeld vaak: 

• "We hebben back-ups, dus we zijn gedekt."
  
• "We hebben onze compliance-beoordeling gehaald."
  
• "Onze IT-provider regelt dat."
  
• "We zijn te klein om interessant te zijn." 

Helaas zijn aanvallers zich ook zeer bewust van deze aannames. 

Back-ups kunnen bestaan maar zijn niet getest. Compliance-controls kunnen gedocumenteerd zijn maar in de praktijk niet effectief zijn. Managed services focussen vaak op uptime, niet op het monitoren van verdacht gedrag. En kleine en middelgrote organisaties zijn juist aantrekkelijk omdat ze minder verdedigingslagen lijken te hebben. 

Ransomware gedijt in omgevingen waar beveiliging er op papier goed uitziet, maar niet is gevalideerd tegen echte aanvallen uit de praktijk. 

Wat de impact van Ransomware daadwerkelijk vermindert 

Er is geen magisch schild of beveiligingstool dat "ransomware stopt" zonder al het verkeer te blokkeren. Een realistische en effectieve verdediging focust op het beperken van de de omvang van de schade en hersteltijd. Overweeg bijvoorbeeld deze best practices met gangbare beveiligingsmaatregelen: 

• Sterke bescherming: Multi-factor authentication (MFA) overal, met least-privilege toegang, en monitoring van abnormaal inloggedrag. 
• Netwerksegmentatie: Om voorkomen dat aanvallers lateraal bewegen en alles in één keer overnemen. 
• Veerkrachtige back-ups: Offline of immutable back-ups die regelmatig getest worden op restore mogelijkheden. 
• Vroege detectie: Monitoring voor zichtbaarheid op verdacht gedrag, niet alleen op bekende malware-handtekeningen. 
• Incidentmanagement: Duidelijk gedefinieerde rollen, communicatiepaden en mandaat voordat een incident optreedt.
  
  Deze aanpak gaat ervan uit dat er uiteindelijk wel iets mis kán gaan. Dus, maak plannen voor als dat gebeurt.  

Compliance helpt, maar het is niet het einddoel 

Dat heb ik vele keren eerder gezegd… compliance speelt een belangrijke rol, maar het is geen garantie voor een veilig systeem. 

De meeste compliance-kaders meten de aanwezigheid van maatregelen, niet effectiviteit. Ze houden ook geen rekening met hoe aanvallers zwaktes aan elkaar koppelen. Bovendien worden compliance-checks weinig frequent beoordeeld en vaak op één tijdstip in plaats van over een periode. Ze zijn vergelijkbaar met een jaarlijkse kwetsbaarheidstest: een momentopname die alleen klopt zolang er niets verandert. 

Daarnaast is ook dit een waarheid: een risk-based security-programma vult een compliance-only veiligheidsgat. Want die gaten zullen er zijn. 

In plaats van de vraag stellen: "Hebben we de maatregel getroffen?", zouden we moeten vragen: 

• Hoe zou een aanvaller eigenlijk binnenkomen?
  
• Welk onderdeel zouden ze als eerste doelwit kiezen?
  
• Hoe snel zouden we het detecteren?
  
• Hoe groot zou de impact op de bedrijfsvoering zijn? 

Organisaties die deze aanpak hanteren, zijn veel beter in staat om weerbaar te zijn tegen ransomware-incidenten.  

Praktische stappen voor het komende kwartaal. 

Als ransomware je zorgen baart, focus dan op acties die snel duidelijkheid produceren en onzekerheid reduceren: 

• Test back-up en herstel procedures, niet alleen of de back-up zelf geslaagd was. 
• Beoordeel accounts met hoge rechten en service-accounts. Vooral de laatste groep zorgt regelmatig voor kwetsbaarheden. 
• Valideer detectie en response met een pentest of een table top-oefening. 
• Plot ransomware-scenario’s op de impact op de bedrijfsvoering, niet alleen naar software of IT-systemen. 
• Zorg ervoor dat management en technische teams hun rollen begrijpen tijdens een incident. 

Van angst naar controle 

We zien ransomware nog steeds groeien, maar dat betekent niet dat we als organisaties machteloos zijn. 

Organisaties die focussen op herkennen en erkennen van risico’s, validatie en response-bereidheid herstellen sneller, verliezen minder data en ervaren veel minder verstoring wanneer incidenten plaatsvinden. 

Cybersecurity gaat niet alleen over het beperken van dreigingen. Het gaat ook over controle houden wanneer die dreigingen zich manifesteren in incidenten. 

Dit artikel kwam tot stand hulp van onze Amerikaanse collega’s van Duffy Compliance Services, Maryland, U.S.A. 

Waar ransomware in de U.S.A. nog steeds een groot probleem is, is het in Europa niet veel kleiner. Een verschil zijn wel de statelijke actoren; die zijn in de V.S. grote aanjagers van ransomware aanvaller. Hackerscollectieven die gesteund worden door overheden voeren veel van deze aanvallen uit. Door de geopolitieke ontwikkelingen van de afgelopen tijd zijn deze anders voor (West-)Europa dan voor de V.S.  

Een ander aspect is het verschil in wetgeving. Waar het artikel zich vooral focust op securitymaatrelen die je zou moeten treffen, hebben we in Europa de AVG, de privacywetgeving. Dat is voor Nederlandse organisaties wetgeving waar je ook nog eens rekening mee moet houden. Wat als je een datalek hebt? 

Tegelijk geeft de AVG ook een kans. In de casus van de hack bij Odido bleek dat Odido veel te veel (persoons-)gegevens had bewaard. Ik zeg altijd: ‘alles wat je niet hebt, kan ook niet gestolen worden’. Dus: zorg dat je dataminimalisatie én je bewaar- en vernietingsbeleid op orde en geïmplementeerd zijn.  

Als laatste breek ik een lans voor het oefenen van een hack of incident met een tabletop of een red-teaming oefening. Bij de organisaties waar wij een dergelijke oefening hebben uitgevoerd is aantoonbaar gebleken dat zij een hogere weerbaarheid hebben als een incident zich ook daadwerkelijk voordoet. Train as you fight, zeg ik als veteraan. 

Heb je vragen, of wil je dat we eens met je meedenken? Laat het ons gerust weten. Contact opnemen kan via ons contactformulier  of telefonisch via +071 747 17 17.