Het klassieke beeld van ransomware waarbij servers plotseling op zwart gaan en een digitaal losgeldbriefje op het scherm verschijnt, raakt steeds sneller achterhaald. Cybercriminelen laten het tijdrovende en riskante versleutelen van complete IT-infrastructuren vaker links liggen.
In plaats daarvan kiezen aanvallers voor data-exfiltratie gevolgd door pure afpersing. Deze verschuiving naar ‘data theft extortion’ zet traditionele herstelstrategieën buitenspel en dwingt securityteams tot een fundamenteel andere respons.
Jarenlang gold een robuuste, onveranderbare back-up als de ultieme levensverzekering tegen gijzelsoftware. Organisaties investeerden miljoenen in offline snapshots, immutable storage en gedetailleerde disaster recovery-plannen om na een aanval snel weer operationeel te zijn zonder losgeld te betalen. Deze defensieve vooruitgang heeft het verdienmodel van traditionele encryptie-aanvallen echter flink onder druk gezet.
Aanvallers hebben hun tactiek daarop geruisloos aangepast. Waarom zouden ze kostbare tijd verspillen aan het instabiel versleutelen van petabytes aan data, met het risico vroegtijdig te worden ontdekt door geavanceerde Endpoint Detection and Response-tools?
Moderne aanvallers kiezen het pad van de minste weerstand. Ze infiltreren een netwerk via gecompromitteerde inloggegevens, kwetsbare API’s of ongepatchte VPN-gateways en bewegen zich ongemerkt door de systemen. Daar brengen ze de data van de organisatie in kaart en pompen ze gigabytes aan gevoelige data weg. Pas wanneer de buit veilig op externe servers staat, volgt de financiële claim.
Lees ook: Betalen aan criminelen of failliet: het duivelse dilemma
Waarom goede back-ups niet langer beschermen
Bij pure afpersing verliest de traditionele back-up zijn beschermende waarde. De IT-infrastructuur van het slachtoffer blijft immers gewoon operationeel, er valt simpelweg niets te herstellen. De dreiging zit volledig in het openbaar maken van de buitgemaakte informatie. Criminelen richten zich doelgericht op bestanden die bij uitlekken maximale schade veroorzaken. Denk daarbij bijvoorbeeld aan strategische plannen, intellectueel eigendom, financiële details of gevoelige persoonsgegevens van klanten of personeel.
De gevolgen van publicatie reiken veel verder dan tijdelijke operationele hinder. Organisaties riskeren torenhoge boetes van privacytoezichthouders wegens overtredingen van de AVG, schadeclaims van gedupeerden, direct verlies van concurrentiekracht en langdurige reputatieschade. Om de druk nog verder op te voeren, zetten aanvallers steeds vaker zogeheten ’triple extortion’-tactieken in. Ze benaderen direct klanten, partners en toeleveranciers van het getroffen bedrijf met het dreigement hun specifieke data te lekken als het hoofddoelwit weigert te betalen.
Voor het crisisteam verschuift het speelveld hierdoor van een technisch herstelvraagstuk naar een juridisch, communicatief en strategisch mijnenveld. Zodra data eenmaal buiten de muren is beland, biedt het betalen van losgeld bovendien nul garanties. De ervaring leert dat gestolen bestanden alsnog op het darkweb belanden of maanden later worden gebruikt voor een tweede afpersingsronde door andere groeperingen.
Van herstel naar detectie op dataverkeer
Om deze dreiging het hoofd te bieden, moeten organisaties hun verdediging herinrichten. Waar cybersecurity jarenlang gefocust was op beveiliging van de perimeters en het blokkeren van malware, vereist data-exfiltratie diepgaand inzicht in het interne dataverkeer en strenge toegangscontroles.
Een effectieve verdediging rust op drie cruciale pijlers. Ten eerste is strikte datasegmentatie en privilegebeheer noodzakelijk. Door het ‘least privilege’-principe consistent door te voeren, voorkom je dat een gecompromitteerd gebruikersaccount toegang krijgt tot alle enterprise-opslaglocaties.
Ten tweede moeten organisaties investeren in geavanceerde Data Loss Prevention en continue monitoring van uitgaand netwerkverkeer. Ongebruikelijke piekvolumes naar onbekende IP-adressen of verdachte bestandsoverdrachten via clouddiensten moeten direct alarmbellen doen afgaan binnen het Security Operations Center.
Ten derde moeten incident response-draaiboeken worden herzien. Beveiligingsteams moeten oefenen op scenario’s waarin data gestolen is zonder dat er systemen platliggen, inclusief de communicatie met toezichthouders, pers en ketenpartners. Alleen wanneer aanvallers worden onderschept tijdens de verkenningsfase, kan catastrofale schade worden voorkomen. In het moderne dreigingslandschap is het draaiend houden van de servers niet langer de overwinning. De echte strijd draait om het behoud van eigenaarschap over de data zelf.