Na een grote ransomwarebesmetting staan organisaties voor een duivels dilemma: betalen we het losgeld of niet? Daarvoor bestaan argumenten voor én tegen.
Ransomware is een ware plaag voor het bedrijfsleven en de overheid. Volgens de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) is het probleem inmiddels zo groot dat de nationale veiligheid in gevaar is. In het Cybersecuritybeeld Nederland 2021 waarschuwt de NCTV al voor gerichte aanvallen op de vitale infrastructuur.
Uit onderzoek van Mimecast blijkt dat iets meer dan de helft van de Nederlandse organisaties in het afgelopen jaar slachtoffer werd van gijzelsoftware. Van hen betaalde veertig procent het losgeld. Mimecast, de politie en het Nationaal Cyber Security Centrum (NCSC) raden slachtoffers af om te betalen. Toch is te begrijpen waarom wel voor betaling wordt gekozen.
Het toonaangevende Sans Institute organiseerde onlangs een virtueel debat met securityexperts die getroffen bedrijven bijstaan. Het was een interessante sessie waarin de voors en tegens aan bod kwamen.
Wél te betalen
De experts noemen diverse argumenten om tot betaling over te gaan.
- Snel weer back in business
Volgens het onderzoek bedraagt de gemiddelde downtime door een ransomwarebesmetting vijf dagen. Maar een gijzeling kan de bedrijfsvoering soms wel maanden verstoren. In ernstige gevallen gaat voor jaren aan werk verloren. Betalen wordt dan als de snelste manier gezien om weer volledig operationeel te zijn.
- Data van klanten beschermen
Veel moderne ransomwarevarianten versleutelen de data niet alleen, maar exfiltreren deze ook. Vervolgens dreigen de criminelen de gegevens openbaar te maken (‘dubbele afpersing’). Dit geeft hen een stok achter de deur voor als het slachtoffer weigert te betalen. Zo’n lek kan immers grote gevolgen hebben voor klanten.
- Geld besparen
Bij deze afweging voeren veel organisaties een kosten-batenanalyse uit. Van productiviteitsverlies en misgelopen inkomsten door downtime tot reputatieschade: de totale impact van een langdurige besmetting is vaak niet gering. Onder de streep kan het voordeliger zijn om aan de eisen van de aanvallers te voldoen.
- Medewerkers beschermen
Het menselijke aspect speelt ook een rol in de besluitvorming. Een ransomwarebesmetting kan ertoe leiden dat it-systemen of apparaten niet beschikbaar zijn. Mogelijk vallen er dan diensten uit. Flexwerkers met een laag inkomen en zonder financiële buffer komen dan in het nauw.
- Achterhalen wat er gestolen is
Organisaties hebben lang niet altijd een volledig beeld van de data die ze verwerken en verzamelen. Bij een ransomwarebesmetting is dan al gauw de vraag: wat hebben de aanvallers precies gestolen? Zie daar maar eens antwoord op te krijgen als alle bestanden versleuteld zijn.
Níét betalen
Dit steekhoudende argumenten. Maar er zijn nog betere redenen om de rug recht te houden.
- Betalen biedt geen garanties
In het onderzoek van Mimecast kreeg 41 procent van de Nederlandse organisaties die het losgeld betaalden desondanks geen toegang tot de gegijzelde data. Soms werkt de decryptiesoftware niet goed, soms gaan de cybercriminelen er gewoon met de buit vandoor. Het komt maar zelden voor dat het slachtoffer alle data terugkrijgt.
- Bedrijfsvoering wordt toch verstoord
Zelfs als de getroffen organisatie het losgeld betaalt, heeft een ransomwarebesmetting een flinke impact op de business. Het is geen knop waarop u drukt om de oude situatie te herstellen. Zo nemen de onderhandelingen met de criminelen tijd in beslag, net als het opnieuw opstarten van het netwerk.
- Betalen leidt tot meer aanvallen
Ransomware is een succesvol verdienmodel dat bedrijven in stand houden door te betalen. Niet voor niets adviseert de politie om geen losgeld te betalen. Ook andere landen ontmoedigen dit. Zo wil Australië een meldplicht invoeren voor losgeldbetalingen en pleit de Amerikaanse energieminister Jennifer Granhold zelfs voor een verbod.
- Aanvallers hebben de data nog
Het betalen van losgeld geeft de organisatie misschien weer toegang tot de data krijgt, maar de gestolen data blijven in handen van de cybercriminelen, die per definitie niet te vertrouwen zijn. Mogelijk wordt de organisatie in een later stadium nogmaals afgeperst, of belanden de data alsnog op internet.
- Financiering van criminelen
Dan is er uiteraard het ethische aspect. De opbrengsten worden niet alleen gebruikt voor nieuwe aanvallen, maar ook voor het financieren van andere criminele activiteiten. Dan gaat het bijvoorbeeld om zware misdrijven zoals mensensmokkel en kindermisbruik. Ofwel, het betalen van losgeld kan levens verwoesten.
Beter: betaal nooit!
Wat is nu de juiste keuze? Dat moet elke organisatie voor zichzelf bepalen. Maar het betalen van losgeld is principieel verkeerd. We hebben hier te maken met genadeloze criminelen die veel leed veroorzaken. Zolang het geld blijft binnenstromen, gaan zij niet stoppen. Betalen is een kortetermijnoplossing. Los daarvan biedt het geen enkele garantie op gegevensherstel.
Mocht uw organisatie toch slachtoffer worden van ransomware, durf hier dan zo transparant mogelijk over te zijn. Dergelijke incidenten worden vaak onder de pet gehouden. En hoewel hiervoor een legitieme reden kan zijn, lijkt het bijna een taboe om erover te praten. Dat is gunstig voor cybercriminelen. Het zou mooi zijn als kennisdeling de norm wordt. Dan kunnen andere organisaties leren van eventuele fouten.
Beter is het natuurlijk om te voorkomen dat u in deze situatie belandt. Zorg daarom voor een gelaagde beveiliging tegen ransomware. Die bestaat uit maatregelen zoals het gebruik van sterke wachtwoorden, offline-backups, netwerksegmentatie, een strikt toegangsbeheer, multi-factorauthenticatie en noodvoorzieningen voor e-mail. Train uw werknemers ook regelmatig in gevaarherkenning, want een besmetting begint meestal bij een phishing-aanval.
Er zullen altijd bedrijven zijn die ondanks de bezwaren besluiten het losgeld te betalen. Maar wat levert dat nu echt op? U kunt dat geld ook investeren in uw security, zodat u over een jaar niet nogmaals voor hetzelfde dilemma staat.
