Meldplicht voor betaling van losgeld na ransomware-aanval?

Kent u Conti, LockBit, Hive of de Lapsus$ Group? Het zijn zomaar wat namen van criminele bendes die als ‘marktleiders’ bakken met geld verdienen met het uitvoeren en faciliteren van ransomware aanvallen. De praktijken van dit soort cybercriminelen zijn uitgegroeid tot een geraffineerd georganiseerde industrie waarin veel geld, veelal in de vorm van cryptovaluta, omgaat. Betrouwbare totaalcijfers ontbreken, maar het staat wel vast dat slachtoffers van aanvallen dikwijls bereid zijn tot betaling van forse bedragen aan losgeld (‘ransoms’). Staat het water je aan de lippen omdat cybercriminelen de IT-systemen van jouw organisatie hebben platgelegd, dan is die bereidheid niet onbegrijpelijk.

Zo betaalde het bedrijf Colonial Pipeline, het grootste bedrijf in de VS dat oliepijpleidingen exploiteert, vorig jaar nog zo’n 4,4 miljoen dollars in bitcoins om versleutelde systemen te kunnen ‘de-crypten’. Het bedrijf kon dagenlang geen brandstof transporteren en leveren. Dat zijn uiteraard ontwrichtende zaken. Het verbaast dan ook niet dat de Amerikaanse overheid onlangs nog een beloning van maar liefst 10 miljoen dollar (!) heeft uitgeloofd voor informatie over de criminelen achter de Conti-ransomwaregroep. En dichter bij eigen huis: Colosseum Dental Benelux, die ongeveer 130 tandartspraktijken in Nederland en België exploiteert, werd recentelijk in augustus getroffen door een stevige ransomware aanval en naar verluid is daarvoor een forse som geld betaald. Het precieze bedrag is door het bedrijf niet bekend gemaakt, maar media spreken over enkele tonnen euro’s.

RaaS: Ransomware-as-a-Service

De businessmodellen van de ransomware-industrie veranderen continu. Enige jaren terug probeerden cybercriminelen hun slag vooral te slaan door hun malware als hagel op talloze potentiële slachtoffers af te vuren, in de hoop dat enkelen losgeld zouden dokken. Tegenwoordig richten zij hun acties meer en meer op zorgvuldig geselecteerde specifieke organisaties, waarvan de kwetsbaarheden vooraf gedegen in kaart worden gebracht en waarbij het gevraagde losgeld gebaseerd is op een financiële analyse van het beoogde slachtoffer.

Daarnaast zien we dat de cybercriminelen ook naar andere vormen van financieel gewin zoeken. Niet zelden worden de door een aanval getroffen data niet alleen versleuteld of voor de gebruiker ‘gelockt’, maar steeds vaker ook worden data gestolen, waarna de buit publiekelijk aan de hoogste bieder – uw concurrent? – te koop wordt aangeboden.

Een andere ontwikkeling is die van RaaS: Ransomware-as-a-Service. De makers van geavanceerde ransomware ‘verhuren’ hun software vanuit de Cloud dan tijdelijk aan anderen, uiteraard tegen afdracht van een deel van de geïncasseerde  losgelden. Het gebruik van ransomware is daarmee een fluitje van een cent geworden; als gebruiker hoef je de malware immers niet eerst zelf te ontwikkelen.

Losgeld: wel of niet betalen?

In juli jongsleden publiceerde ENISA, het Europees Agentschap voor Cyber Security, de resultaten van een dieptenanalyse van 623 ransomware incidenten uit de periode van mei 2021 tot juni 2022. Nederland staat in de Top 40 van de in dat onderzoek betrokken landen op een bedenkelijk hoge 8e plaats. Nederlandse organisaties worden dus relatief vaak getroffen, aldus ENISA.

Het lezenswaardige rapport van ENISA laat zien dat gevalideerd cijfermateriaal over betalingen van losgeld goeddeels ontbreekt. Door ransomware getroffen private organisaties brengen daarover begrijpelijkerwijs niet graag iets naar buiten. Niettemin komen de onderzoekers tot de onderbouwde schatting dat in ruim 62% van de incidenten de getroffen organisaties op de afpersing door de cybercriminelen zijn ingegaan. Het rapport geeft aan dat niet duidelijk is hoe ‘onderhandelingen’ met de cybercriminelen doorgaans verlopen. Uit de praktijk weten we wel dat gedupeerde organisaties zich soms laten bijstaan door professionele gespecialiseerde onderhandelaars.

Dat getal van 62% werpt de vraag op hoe effectief de dringende oproep van de ENISA en de Nederlandse rijksoverheid om bij een ransomware aanval nooit tot betaling over te gaan, nou werkelijk is. Toegegeven: door betaling houd je een kwaadaardige en maatschappij-ontwrichtende industrie in stand en dat is bedenkelijk. En verder is het zo dat je door een betaling niet zekerstelt dat je weer ongestoord en schadevrij de beschikking krijgt over de getroffen databestanden. Ook vervolgaanvallen zijn niet uitgesloten. Ethisch gezien verdienen deze oproepen dus volop onze sympathie, maar de boodschap van de Europese en Nederlandse autoriteiten lijkt niettemin tamelijk naïef.