Na een hack of ransomware: herstellen zonder opnieuw besmet te raken

Module 8: Als het misgaat · Leestijd: 11 minuten

Leerdoel: Na deze les kun je de herstelfase na een hack of ransomware doorlopen: inperken, uitzoeken hoe het gebeurde, schoon herstellen, aangifte doen, communiceren en ervan leren.

Kernbegrippen: inperken, isoleren, initiële toegang, persistentie, forensisch onderzoek, schone herinstallatie, herstelvolgorde, aangifte, No More Ransom, losgeld, cyberverzekering, evaluatie

De grootste fout: te snel "alles terugzetten"

Een webbouwer krijgt op dinsdag een melding: de WordPress-site van een klant stuurt bezoekers door naar een nepwinkel. Hij zet de back-up van vorige week terug, de site werkt weer, klaar. Donderdag is het opnieuw raak. De aanvaller was binnengekomen via een verouderde plugin en had een extra beheerdersaccount en een verborgen bestand achtergelaten. De back-up van vorige week bevatte die al. Terugzetten zonder te weten hoe iemand binnenkwam, zet ook de deur terug.

Hetzelfde gebeurt bij ransomware in een kantoornetwerk. Criminelen zitten vaak al dagen of weken binnen voordat ze versleutelen. In die tijd maken ze extra accounts, installeren ze software voor toegang op afstand en zoeken ze de back-ups. Wie alleen de versleutelde bestanden terugzet, houdt de aanvaller binnen.

Herstel gaat daarom in vijf stappen, in deze volgorde.

Stap 1: inperken

Inperken betekent: zorgen dat het niet erger wordt. De eerste minuten staan op je incidentkaart (les 8.1).

• Isoleer getroffen apparaten: netwerkkabel eruit, wifi en mobiel netwerk uit, of vliegtuigmodus. Het NCSC adviseert getroffen systemen niet uit te zetten maar los te koppelen; slaapstand mag. Zo blijven sporen in het werkgeheugen bewaard en stopt de verspreiding.
• Koppel externe schijven en back-upmedia los en sluit ze niet aan op een apparaat dat mogelijk besmet is.
• Kun je een systeem niet isoleren, verbreek dan de verbinding met de netwerkschijf. Is het hele netwerk geraakt, sluit het af van internet (bijvoorbeeld door de internetverbinding of de firewall dicht te zetten).
• Wijzig wachtwoorden vanaf een schoon apparaat, te beginnen met de belangrijkste: beheerdersaccounts, mail, de wachtwoordmanager, de bank. Log overal alle sessies uit. Doe dit niet vanaf een computer die mogelijk een infostealer of keylogger bevat (les 1.4), want dan lees je het nieuwe wachtwoord direct voor aan de aanvaller.
• Bewaar bewijs: foto van het losgeldbericht, de mails, betaalverzoeken, cryptoadressen, tijdstippen. Gooi niets weg.

Bij een gehackte website betekent inperken: de site tijdelijk offline halen of in onderhoudsmodus zetten, alle wachtwoorden (beheer, FTP, database, hosting) wijzigen en je hostingbedrijf inschakelen.

Stap 2: uitzoeken wat er gebeurde

Je wilt drie dingen weten:

1. Hoe kwamen ze binnen? De initiële toegang: een phishingmail, een gestolen wachtwoord zonder 2FA, een verouderde VPN-server of plugin, een openstaande verbinding voor beheer op afstand.
2. Wat lieten ze achter? De persistentie: extra accounts, geplande taken, software voor beheer op afstand, doorstuurregels in mailboxen, extra bestanden op de webserver.
3. Wat hebben ze meegenomen? Bij moderne ransomware kopiëren criminelen vaak eerst gegevens en dreigen ze met publicatie (dubbele afpersing, les 1.3). Dan heb je ook een datalek (les 8.2).

Voor een klein bedrijf is dit zelden zelf te doen. Schakel je IT-leverancier in, of een gespecialiseerd bedrijf voor incidentrespons. Veel cyberverzekeringen hebben een vast nummer voor zo'n team. Vraag bij een extern bedrijf welke ervaring het heeft met jouw soort incident en spreek vooraf af wat het onderzoek omvat.

Bij een website helpen het toegangslog en het foutlog van de webserver, een malwarescan van de bestanden en een vergelijking met een schone kopie van het CMS en de plugins.

Stap 3: schoon herstellen

Pas als je weet hoe de aanvaller binnenkwam en die weg is dicht, begin je met herstel.

Herstel in de volgorde die je in je plan hebt vastgelegd (les 8.1 en 6.3): eerst wat het bedrijf nodig heeft om door te draaien. Houd het herstelde deel gescheiden van wat nog niet is nagekeken.

Hier blijkt of je back-up deugt. Een back-up die aan het netwerk hing, is vaak mee versleuteld of gewist. Een offline of onveranderbare back-up (les 6.2) en een geteste terugzetprocedure (les 6.3) maken het verschil tussen dagen en weken stilstand.

Stap 4: aangifte, melden en losgeld

Aangifte. Doe aangifte bij de politie. Bedrijven maken daarvoor een afspraak via 0900-8844. Neem het bewijs mee (losgeldbericht, mails, betaalgegevens). Aangifte is nodig voor onderzoek, helpt de politie verbanden te zien, en verzekeraars vragen er vaak om.

No More Ransom. Op https://www.nomoreransom.org (een initiatief van onder meer Europol en de Nederlandse politie) kun je een versleuteld bestand of het losgeldbericht laten herkennen. Voor sommige ransomwarefamilies bestaat een gratis decryptor. Voor de meeste nieuwe varianten niet, maar het kost weinig tijd om te kijken.

Melden. Ga na welke meldingen nodig zijn: een datalek bij de AP binnen 72 uur (les 8.2), een significant incident via MijnNCSC als je onder de Cyberbeveiligingswet valt (les 9.1), en wat je met klanten of opdrachtgevers hebt afgesproken.

Losgeld. Het NCSC adviseert geen losgeld te betalen, de politie zegt "betaal bij voorkeur niet". De redenen:

• Je hebt geen garantie dat je een werkende sleutel krijgt, of dat de gegevens niet alsnog worden gepubliceerd.
• Gegevens die je terugkrijgt, kunnen beschadigd of veranderd zijn.
• Wie betaalt, staat bekend als iemand die betaalt. Slachtoffers worden soms opnieuw afgeperst of later opnieuw aangevallen.
• Je financiert de volgende aanval.

Overweeg je toch te betalen, of heb je betaald, meld het dan altijd aan de politie: de betaalgegevens kunnen het onderzoek helpen. Deze beslissing hoort bij de beslisser uit je incidentplan, niet bij degene die het bericht als eerste ziet.

Cyberverzekering. Een cyberverzekering kan kosten dekken voor onderzoek, herstel en bedrijfsschade, en geeft vaak toegang tot een incidentteam. Lees de voorwaarden: veel polissen eisen basismaatregelen zoals 2FA en back-ups, en vragen dat je snel meldt. Het NCSC schreef in april 2025, op basis van onderzoek naar ruim 500 ransomware-incidenten bij het mkb, dat aanvallers na binnenkomst zoeken naar bestanden met namen als "verzekering" of "polis" om hun onderhandelingspositie te versterken. Kijk dus hoe makkelijk een indringer je polis vindt, en bewaar hem bij voorkeur niet op een gedeelde schijf. Een verzekering vervangt geen maatregelen: hij betaalt de schade, maar voorkomt hem niet.

Stap 5: communiceren en leren

Laat de communicator uit je plan één duidelijk verhaal vertellen aan personeel, klanten en leveranciers: wat er is gebeurd, wat het voor hen betekent, wat ze moeten doen (bijvoorbeeld: let op mails die van ons lijken te komen), en wanneer ze weer van je horen. Eerlijk en op tijd werkt beter dan zwijgen tot het uitlekt.

Plan binnen een paar weken een evaluatie: wat ging goed, wat ging mis, wat verander je? Bijna altijd komen er dezelfde punten uit: 2FA ontbrak ergens, een systeem was niet bijgewerkt, de back-up was niet getest, of niemand wist wie mocht beslissen. Zet die punten in je plan uit les 9.3, met een eigenaar en een datum.

In de praktijk: zo ziet het eruit

Bij een gehackte website op een hostingpakket werk je vaak met de middelen van je hostingbedrijf. Bij WebOké zijn dat bijvoorbeeld een malwarescan (Imunify360), de logbestanden in DirectAdmin, het terugzetten van een back-up uit WebOké Backups en een stappenplan in de DirectAdmin-handleiding. Bij andere hostingbedrijven bestaan vergelijkbare hulpmiddelen; vraag je aanbieder wat er is en tot hoe ver terug de back-ups gaan, voordat je het nodig hebt.

Samenvatting

• Herstel in vijf stappen: inperken, uitzoeken, schoon herstellen, aangifte en melden, communiceren en leren.
• Isoleer, zet niet uit, en wijzig wachtwoorden alleen vanaf een schoon apparaat.
• Zet niets terug voordat je weet hoe de aanvaller binnenkwam; anders zet je ook de deur terug.
• Installeer besmette apparaten opnieuw en herstel uit een back-up van vóór de inbraak.
• Doe aangifte, kijk op No More Ransom, en betaal bij voorkeur geen losgeld.

Quiz

Opdracht

Opdracht A8.3: Zet het herstel in de goede volgorde. Je krijgt een casus en tien losse stappen (bijvoorbeeld "back-up terugzetten", "netwerkkabel eruit", "nagaan hoe de aanvaller binnenkwam", "aangifte doen"). Zet ze in de juiste volgorde. Het programma kijkt na of de vaste volgorderegels kloppen (bijvoorbeeld: isoleren vóór terugzetten, oorzaak vóór terugzetten, opnieuw installeren vóór gegevens terugzetten) en legt per fout uit waarom.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 18.2: Mijn website is gehackt: stappenplan
• Help! Mijn site is gehackt. Hoe los ik dat op en hoe voorkom ik het?
• Imunify360: je website scannen op malware
• WebOké Backups: een backup bekijken, terugzetten of downloaden
• NCSC, Wat te doen bij een ransomware-aanval?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC, Ransomware in het mkb: cybercriminelen verhogen losgeld bij cyberverzekering: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org