Ransomware: gijzelsoftware begint vrijwel altijd bij een mens

Wat is ransomware?

Het woord zegt het al: ransom is losgeld. Ransomware maakt je eigen bestanden onleesbaar door ze te versleutelen, en de aanvaller biedt de sleutel te koop aan. Bij organisaties komt daar tegenwoordig vrijwel altijd een tweede dreigement bij: voordat de criminelen versleutelen, kopiëren ze gevoelige gegevens, en wie niet betaalt, ziet die gegevens op straat belanden. Zo word je twee keer gegijzeld — je kunt niet werken én je klantgegevens liggen op tafel.

Wie denkt dat dit alleen iets is voor andermans bedrijf: ransomware-aanvallen op bekende organisaties zijn geregeld in het nieuws, van gemeentes en zorginstellingen tot universiteiten en logistieke bedrijven. Het bekendste voorbeeld blijft WannaCry, dat in mei 2017 wereldwijd organisaties platlegde, waaronder ziekenhuizen. Sindsdien is het verdienmodel professioneler geworden, niet milder: er bestaan complete criminele dienstverleners die de software verhuren aan wie maar wil aanvallen.

Negen van de tien keer begint het bij een mens

De film laat hackers groene code intikken; de praktijk is huiselijker. Veruit de meeste ransomware-aanvallen beginnen niet met een geniale technische doorbraak, maar met iets menselijks: een phishingmail met een besmette bijlage, een wachtwoord dat ook ergens anders werd gebruikt en daar uitlekte, een inlogpagina die net echt leek, of een medewerker die telefonisch werd overgehaald om “even iets te installeren voor de helpdesk”. De aanvaller heeft maar één deur nodig, en mensen openen nu eenmaal de hele dag deuren — dat heet werken.

Dat is geen verwijt aan die mensen, en dat mag het in je organisatie ook nooit worden. De mail die de deur opent, is gebouwd om geloofwaardig te zijn; de druk in het gesprek is gebouwd om te werken. Welke vormen die eerste stap aanneemt, lees je bij soorten phishing; waarom die trucs zo goed werken op normale, slimme mensen, staat uitgelegd bij social engineering.

Anatomie van een ransomwareaanval

Het losgeldscherm voelt als het begin van de aanval, maar het is het einde. Daarvóór heeft zich meestal al een heel traject afgespeeld — en in elk van die fases had iemand iets kunnen opmerken.

1. Binnenkomen. Via een phishingmail, een gelekt of geraden wachtwoord, of een slecht beveiligde verbinding voor thuiswerken. Dit is de fase waarin de mens de hoofdrol speelt — en dus ook de fase waarin een oplettende melding de hele aanval kan stoppen.
2. Stil verspreiden. De aanvaller kijkt rond, verzamelt wachtwoorden en werkt zich op naar beheerdersrechten. Dit kan dagen tot weken duren. Vreemde inlogmeldingen, een collega die “zichzelf” een mail ziet sturen, een tweestapsverificatie-melding die je niet zelf aanvroeg: dit zijn de signalen uit deze fase, en ze worden te vaak weggeklikt.
3. Back-ups raken. Voordat er iets versleuteld wordt, zoekt de aanvaller de back-ups op en maakt ze onbruikbaar of versleutelt ze mee. Wie betaalt er immers losgeld als hij gisteren nog een kopie heeft? Daarom is een back-up die losstaat van het netwerk goud waard.
4. Versleutelen. Vaak in een nacht of weekend, als er niemand kijkt. Bestanden, servers en gedeelde mappen gaan op slot; op de schermen verschijnt de boodschap met het rekeningnummer in cryptovaluta.
5. Afpersen. Het losgeld wordt geëist, vaak met een aflopende timer en het dreigement om gestolen gegevens te publiceren. Soms bellen de criminelen er zelfs achteraan — afpersing met een servicedesk.

Betalen of niet — en wie je belt

Het eerlijke antwoord: dit is een rotkeuze, en niemand die er niet middenin zat mag er makkelijk over doen. Tegen betalen pleit veel. Je hebt geen enkele garantie dat je een werkende sleutel krijgt of dat gestolen gegevens echt worden gewist — je doet immers zaken met afpersers. Je financiert hun volgende aanval. En wie betaalt, laat zien dat er bij hem te halen valt. Tegelijk staan er soms bedrijven of zelfs levens op het spel, en oordelen is goedkoop vanaf de zijlijn.

Wat je in elk geval niet moet doen, is in paniek en in je eentje beslissen. Bel de politie en doe aangifte — bedrijven doen dat ook, en het helpt om netwerken van daders in kaart te brengen. Kijk op het initiatief No More Ransom, waar politie en beveiligingsbedrijven gratis ontsleutelingstools verzamelen voor ransomware-varianten die gekraakt zijn; soms is je probleem al opgelost zonder dat je het weet. Schakel specialisten in voor de afhandeling, en betrek je verzekeraar als je daarvoor verzekerd bent. En beslis vooraf, niet tijdens de crisis: een organisatie die in rustige tijden heeft doorgesproken wat ze in dit scenario doet, maakt betere keuzes dan een die het om drie uur ’s nachts moet verzinnen.

De menselijke firewall als eerste verdedigingslinie

Virusscanners, updates en back-ups zijn onmisbaar, maar ze delen één beperking: ze reageren op wat al binnen is of bekend is. De mens staat eerder in de keten. De collega die een vreemde mail meldt in plaats van wegklikt, de medewerker die bij een telefonische “helpdesk” eerst zelf terugbelt, de financiële kracht die een rekeningwijziging verifieert — dat zijn geen kleine dingen, dat zijn precies de momenten waarop fase één van de aanval strandt.

Een menselijke firewall bouw je niet met angst maar met duidelijkheid: weten hoe het script van de aanvaller eruitziet, weten wat je doet bij twijfel, en een cultuur waarin melden loont. Hoe dat eruitziet, lees je op de homepage van Humanfirewall.nl. En wil je weten hoe jouw eigen eerste reflex scoort in tien herkenbare werksituaties, doe dan de human firewall test.

Veelgestelde vragen over ransomware