Module 1 · 1.3
Ransomware en afpersing
Module 1: Waarom jij een doelwit bent · Leestijd: 10 minuten
Leerdoel: Na deze les kun je uitleggen hoe ransomware binnenkomt, wat dubbele afpersing is en welke maatregelen de schade beperken.
Kernbegrippen: ransomware, versleuteling, dubbele afpersing, initiële toegang, laterale beweging, losgeld, decryptor (No More Ransom)
Wat ransomware is
Ransomware is schadelijke software die je bestanden of systemen onbruikbaar maakt en daarna losgeld eist. Het woord komt van het Engelse ransom: losgeld. Meestal gebeurt dat met versleuteling: de software zet je bestanden om in onleesbare gegevens, met een sleutel die alleen de aanvaller heeft. Je ziet de bestanden nog staan, vaak met een vreemde extensie erachter, maar je kunt ze niet meer openen. Op het scherm of in elke map staat een bericht: betaal binnen een paar dagen, anders is alles weg.
Versleuteling zelf is niets kwaadaardigs. Het is dezelfde techniek die je laptop beschermt bij diefstal (les 5.2) en die je verbinding met een website beveiligt. Het verschil is wie de sleutel heeft. Goede versleuteling is niet te kraken. Daarom is "we laten het wel even ontsleutelen" bijna nooit een optie, tenzij de makers van de ransomware een fout hebben gemaakt.
Ransomware treft volgens het NCSC niet alleen bestanden, maar ook systemen en back-ups. Dat laatste is het belangrijkste punt van deze les.
Hoe het binnenkomt
Een ransomware-aanval is geen moment, maar een reeks stappen. Het begint met initiële toegang: de eerste voet tussen de deur. De meest voorkomende wegen:
| Toegangsweg | Hoe het gaat | Wat het tegenhoudt |
|---|---|---|
| Phishing met bijlage of link | Een medewerker opent een "factuur" of "pakbon" die schadelijke software start | Bewustwording (les 9.2), updates, beperkte rechten |
| Gestolen inloggegevens | Een gelekt wachtwoord werkt op de webmail, de VPN of het beheer op afstand | Unieke wachtwoorden, tweestapsverificatie (module 2) |
| Een bekend lek in een systeem dat aan internet hangt | Een verouderde VPN-server, firewall, NAS of website met een openbaar bekend lek | Snel bijwerken (les 5.1), niet onnodig open zetten |
| Beheer op afstand dat open staat | Een programma om op afstand op een pc te werken, bereikbaar vanaf het hele internet | Alleen via een beveiligde verbinding, met 2FA |
| Een leverancier | Het IT-bedrijf of de software van een leverancier wordt misbruikt | Afspraken en minimale rechten (module 7) |
Na de eerste toegang wacht een aanvaller vaak. Hij kijkt rond, zoekt beheerdersaccounts en springt van computer naar computer. Dat heet laterale beweging. Hij zoekt vooral naar twee dingen: waar de belangrijke gegevens staan en waar de back-ups staan. Pas als hij beide heeft gevonden, slaat hij toe, vaak 's nachts of in het weekend, als niemand het merkt.
Waarom een gekoppelde back-up niet helpt
Veel kleine bedrijven hebben een back-up: een externe schijf die altijd aan de pc hangt, of een netwerkschijf (NAS) waar elke nacht een kopie naartoe gaat. Dat is beter dan niets bij een kapotte harde schijf. Tegen ransomware helpt het vaak niet.
De reden is simpel. Ransomware versleutelt alles waar de besmette computer of het overgenomen account bij kan. Hangt de back-upschijf aan de pc, dan kan de ransomware erbij. Staat de back-up op een netwerkschijf waar je met hetzelfde account op inlogt, dan kan de ransomware erbij. Een aanvaller die rustig heeft rondgekeken, wist de back-ups soms zelfs bewust voordat hij versleutelt.
Hetzelfde geldt voor synchronisatie. Een map die automatisch met de cloud wordt gesynchroniseerd, synchroniseert ook de versleutelde versie. Soms kun je dan nog terug naar een oudere versie van een bestand, maar dat hangt af van de dienst en hoe lang hij versies bewaart.
Een back-up die ransomware overleeft, heeft minstens één kopie die de aanvaller niet kan bereiken of niet kan veranderen: een schijf die los in de la ligt, of een back-up bij een aparte partij met een eigen inlog die je niet op je werkcomputer gebruikt, of een opslag die wijzigen en wissen een tijd lang technisch onmogelijk maakt. In module 6 richt je dat stap voor stap in. Een back-up die je hostingpartij op aparte servers maakt, los van je pakket, is voor je website en mail al een kopie op afstand. Ga wel na hoe lang die wordt bewaard en wie hem kan wissen.
Dubbele afpersing
Vroeger was een goede back-up het complete antwoord op ransomware: terugzetten en klaar. Aanvallers hebben zich aangepast. Bij dubbele afpersing stelen ze eerst een kopie van je gegevens en versleutelen ze daarna pas. Dan zijn er twee dreigementen:
- Betaal, anders krijg je je bestanden niet terug.
- Betaal, anders publiceren we je gegevens: klantbestanden, offertes, salarisgegevens, mailboxen.
Een back-up helpt tegen het eerste, niet tegen het tweede. Ook het NCSC waarschuwt dat aanvallers soms dreigen gestolen gegevens te publiceren. Daarnaast is het stelen van persoonsgegevens op zichzelf een datalek, met een meldplicht bij de Autoriteit Persoonsgegevens (les 8.2), los van de vraag of je betaalt.
Soms gaat een aanvaller nog verder en benadert hij je klanten of zakenpartners rechtstreeks met de mededeling dat hun gegevens bij jou zijn buitgemaakt. De druk ligt dan niet alleen bij jou, maar ook bij je reputatie.
Betalen of niet?
Het advies van overheidsinstanties en politie is eenduidig: betaal liever niet. No More Ransom, het initiatief van onder andere Europol en de Nederlandse politie, zegt het zo: losgeld betalen biedt geen garanties. Er zijn goede redenen:
- Je hebt geen garantie dat je een werkende sleutel krijgt, of dat het ontsleutelen lukt.
- Je hebt geen garantie dat gestolen gegevens daarna echt worden verwijderd.
- Je bevestigt dat je bedrijf betaalt, en dat maakt je aantrekkelijk voor een volgende aanval.
- Je financiert de volgende aanvallen op anderen.
- De weg naar binnen is nog niet dicht. Zonder onderzoek kan het opnieuw gebeuren.
Het NCSC noemt herstel uit een back-up de meest betrouwbare oplossing. Lukt dat niet, kijk dan of er een decryptor bestaat: een gratis programma dat bestanden van een bepaalde ransomwarefamilie kan ontsleutelen, omdat onderzoekers een fout in die familie vonden of sleutels in beslag namen. No More Ransom (https://www.nomoreransom.org) verzamelt die decryptors en helpt je bepalen welke ransomware je hebt. Lang niet voor elke familie is er een oplossing, maar kijken kost niets.
Doe in elk geval aangifte bij de politie, en bekijk of je een meldplicht hebt: bij de AP als er persoonsgegevens zijn geraakt, bij het NCSC als je onder de Cyberbeveiligingswet valt (les 9.1), en soms bij een opdrachtgever volgens je contract.
Wat de schade beperkt
Je kunt de kans op een aanval verkleinen en de schade als het toch gebeurt beperken. Een overzicht, met de les waar je het leert:
- Bijwerken, vooral alles wat aan internet hangt: VPN, router, NAS, website (les 5.1).
- Tweestapsverificatie op mail, beheer op afstand en alle beheerdersaccounts (les 2.3 en 2.4).
- Minimale rechten: niet dagelijks werken met een beheerdersaccount, en niet iedereen overal bij laten (les 7.1).
- Een back-up buiten bereik van je gewone accounts, en regelmatig testen of terugzetten werkt (module 6).
- Een incidentkaart zodat iedereen weet wat te doen: netwerk eruit, niet zomaar uitzetten, bellen (les 8.1 en 8.3).
- Bewustwording: een collega die meteen meldt dat hij een vreemde bijlage opende, geeft je uren voorsprong (les 9.2).
In de praktijk: zo ziet het eruit
Een voorbeeld, samengesteld uit situaties die vaak voorkomen. Een installatiebedrijf met twaalf medewerkers had een VPN-server om vanuit huis bij de bestanden te kunnen. De firmware was al anderhalf jaar niet bijgewerkt. Via een bekend lek kwam een aanvaller binnen, keek een week rond en vond het beheerdersaccount van de netwerkschijf. Op een zaterdagnacht werden de pc's, de netwerkschijf en de USB-schijf met de back-up die eraan hing versleuteld. Wat overbleef: de mail en de website, die bij een hostingpartij stonden met hun eigen back-up, en een oude kopie van de administratie op een schijf die de boekhouder thuis had liggen. Daarmee kon het bedrijf na een paar dagen weer factureren. De offertes en tekeningen van de afgelopen maanden waren weg.
Een update en één losse schijf in een la hadden het verschil gemaakt tussen een paar dagen en een paar maanden.
Samenvatting
- Ransomware versleutelt bestanden, systemen en back-ups en eist losgeld; goede versleuteling is niet te kraken.
- Ransomware komt binnen via phishing, gestolen wachtwoorden, onbijgewerkte systemen aan internet, beheer op afstand of een leverancier; daarna kijkt de aanvaller vaak eerst rond.
- Een back-up die aan de computer hangt of met hetzelfde account bereikbaar is, wordt vaak mee versleuteld.
- Bij dubbele afpersing worden gegevens eerst gestolen; een back-up helpt dan niet tegen het dreigement om te publiceren, en het is een datalek.
- Betaal liever niet; herstel uit een back-up, kijk bij No More Ransom naar een decryptor en doe aangifte.
Quiz
Opdracht
Opdracht D1.3: Wat als het vannacht gebeurt? Loop voor je eigen bedrijf na wat ransomware vannacht zou kunnen versleutelen. Schrijf op waar je back-ups staan, of ze bereikbaar zijn vanaf een gewone werkcomputer of met een gewoon account, en welke systemen aan internet hangen. Beantwoord daarna de reflectievragen.
Opdracht D1.3: Wat als het vannacht gebeurt?
Zo pak je het aan: (1) Maak een lijst van alle plekken waar belangrijke bestanden staan: pc's, laptops, netwerkschijf, cloudopslag, mail, boekhouding, website. (2) Schrijf bij elke plek waar de back-up staat, en of die back-up bereikbaar is vanaf een gewone werkcomputer of met een account dat je dagelijks gebruikt. (3) Ga na welke systemen aan internet hangen en van buiten bereikbaar zijn (VPN, beheer op afstand, NAS, router, website), en wanneer ze voor het laatst zijn bijgewerkt. (4) Ga na of er minstens één kopie is die ransomware niet kan bereiken (los in de la, of bij een aparte partij met een eigen inlog). (5) Kijk eenmalig op https://www.nomoreransom.org hoe de site werkt, zodat je het weet als het nodig is.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.