De meeste cybersecurity-experts en officiële instanties raden af om losgeld te betalen bij een ransomware-aanval. Betalen geeft geen garantie dat je bestanden worden teruggegeven, financiert criminele organisaties en maakt je bedrijf een aantrekkelijk doelwit voor toekomstige aanvallen. Toch is de realiteit voor veel MKB-bedrijven complexer. In dit artikel beantwoorden we de meest gestelde vragen over deze moeilijke keuze.
Wat gebeurt er als je het losgeld wél betaalt?
Als je het losgeld betaalt, krijg je in veel gevallen een decryptiesleutel waarmee je bestanden mogelijk worden ontgrendeld. Maar “mogelijk” is het sleutelwoord: er is geen garantie dat de sleutel werkt, dat alle bestanden volledig worden hersteld, of dat de aanvallers daarna verdwijnen. Betalen lost het onderliggende beveiligingsprobleem niet op.
Wat er in de praktijk vaak gebeurt na betaling:
- Gedeeltelijk herstel: Bestanden worden niet altijd volledig of correct teruggegeven, zeker als de ransomware al schade heeft aangericht aan de bestandsstructuur.
- Herhaalde aanvallen: Bedrijven die betalen worden vaker opnieuw aangevallen. Aanvallers registreren betalende slachtoffers als bereidwillige doelwitten.
- Gestolen data blijft gestolen: Bij moderne ransomware-aanvallen worden bestanden vaak ook gekopieerd voordat ze worden versleuteld. Betalen betekent niet dat die data niet alsnog wordt gelekt of verkocht.
- Juridische risico’s: In sommige gevallen kan betaling aan bepaalde criminele organisaties in strijd zijn met sanctiewetgeving, afhankelijk van de herkomst van de aanval.
Betalen kan ook een signaal afgeven aan andere criminelen dat jouw organisatie bereid is te betalen. Dit vergroot de kans dat je opnieuw wordt aangevallen, soms zelfs door een andere groep.
Wat zijn de risico’s als je niet betaalt bij ransomware?
Als je niet betaalt bij een ransomware-aanval, riskeer je permanent verlies van versleutelde bestanden als je geen bruikbare back-ups hebt. Aanvallers dreigen ook regelmatig met het publiceren van gestolen data. De operationele schade door stilstand kan fors oplopen, zeker voor MKB-bedrijven zonder uitwijkmogelijkheden.
De concrete risico’s van niet betalen zijn:
- Dataverlies: Zonder werkende back-ups zijn versleutelde bestanden in veel gevallen definitief verloren.
- Langere downtime: Herstel via back-ups of forensisch onderzoek kost tijd. Afhankelijk van de situatie kan dit dagen tot weken duren.
- Reputatieschade: Als aanvallers dreigen gevoelige klant- of bedrijfsdata te publiceren en je betaalt niet, bestaat het risico dat die dreiging wordt uitgevoerd.
- Meldingsplicht: Onder de AVG ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens. Niet betalen verandert niets aan die verplichting.
De schade van niet betalen is in de meeste gevallen beheersbaar als je vooraf goede maatregelen hebt getroffen. Zonder die voorbereiding kan de impact groot zijn.
Wat raden officiële instanties en cybersecurity-experts aan?
Officiële instanties zoals het Nationaal Cyber Security Centrum (NCSC), Europol en het No More Ransom-project raden unaniem af om losgeld te betalen. Hun advies is consistent: betalen financiert criminelen, biedt geen garanties en lost de oorzaak van de aanval niet op. Schakel in plaats daarvan direct professionele hulp in.
De stappen die experts aanbevelen na een ransomware-aanval:
- Isoleer besmette systemen direct om verdere verspreiding te voorkomen.
- Schakel een incident response specialist in die de aanval kan analyseren en het type ransomware kan identificeren.
- Controleer het No More Ransom-project (nomoreransom.org) voor gratis decryptietools voor bekende ransomware-varianten.
- Doe aangifte bij de politie. Dit helpt bij opsporingsonderzoeken en is in sommige sectoren verplicht.
- Herstel vanuit back-ups als die beschikbaar en onbeschadigd zijn.
Het advies om niet te betalen geldt ook voor ict security binnen het MKB. Kleine en middelgrote bedrijven denken soms dat ze te klein zijn om doelwit te zijn, maar het tegendeel is waar: aanvallers richten zich juist op organisaties met minder volwassen beveiliging.
Hoe bepaal je als bedrijf welke stappen je moet zetten?
Als je als bedrijf wordt getroffen door ransomware, bepaal je de juiste stappen op basis van drie factoren: de beschikbaarheid van back-ups, de gevoeligheid van de getroffen data en de operationele impact van downtime. Deze drie elementen samen bepalen hoe urgent herstel is en of betalen al dan niet wordt overwogen.
Doorloop in een aanvalssituatie de volgende vragen:
- Zijn er recente, werkende back-ups beschikbaar? Als ja, dan is herstel zonder betaling in de meeste gevallen haalbaar.
- Welke data is versleuteld? Gaat het om klantgegevens, financiële informatie of operationeel kritieke bestanden?
- Is er sprake van dataexfiltratie? Zijn bestanden ook gekopieerd door de aanvallers, of alleen versleuteld?
- Wat is de bedrijfscontinuïteit zonder die data? Kun je tijdelijk op alternatieve systemen werken?
Neem deze beslissing nooit alleen en nooit onder tijdsdruk van de aanvallers. Aanvallers zetten bewust druk met aftellende timers. Laat je daarin niet sturen. Een gespecialiseerde partij kan je helpen de situatie objectief te beoordelen voordat je een beslissing neemt.
Hoe voorkom je dat je ooit voor deze keuze staat?
Je voorkomt een ransomware-aanval door te investeren in meerdere lagen van beveiliging: goede back-ups, sterke toegangsbeveiliging, regelmatige updates en getrainde medewerkers. Geen enkele maatregel elimineert het risico volledig, maar een combinatie van technische en organisatorische maatregelen maakt een succesvolle aanval aanzienlijk minder waarschijnlijk.
De meest effectieve preventieve maatregelen voor cybersecurity mkb:
- Offline of geïsoleerde back-ups: Zorg dat back-ups niet bereikbaar zijn vanuit het hoofdnetwerk. Ransomware versleutelt ook back-ups die zijn aangekoppeld aan het systeem.
- Multifactorauthenticatie (MFA): Voeg een extra verificatiestap toe aan alle accounts, zeker bij toegang op afstand.
- Patchbeheer: Houd software, besturingssystemen en firmware consequent up-to-date. Veel aanvallen misbruiken bekende kwetsbaarheden die al lang zijn gedicht.
- Medewerkerstraining: De meeste ransomware-infecties beginnen met een phishingmail. Train medewerkers om verdachte berichten te herkennen.
- Segmentatie van het netwerk: Beperk de bewegingsvrijheid van een aanvaller door netwerksegmenten van elkaar te scheiden.
- Endpoint Detection en Response (EDR): Detecteer afwijkend gedrag op apparaten voordat een aanval zich volledig kan ontplooien.
Voer ook periodiek een test uit: herstel je back-ups daadwerkelijk? En weten medewerkers wat ze moeten doen bij een verdacht bericht? Preventie is alleen effectief als je het ook regelmatig test en bijhoudt.
Hoe wij helpen bij ransomware-preventie en cybersecurity
Bij IC-Automatisering pakken we cybersecurity aan vanuit vier pijlers: beleid en organisatie, medewerkers en gedrag, techniek en continu inzicht. Dat betekent dat we niet alleen technische maatregelen treffen, maar ook zorgen dat je medewerkers weten wat ze moeten doen en dat je beleid aansluit op relevante normen zoals ISO 27001 en de NIS2-richtlijn.
Concreet bieden we onder andere:
- Security 0-meting: Een assessment via partnerorganisatie ThreadStone dat de huidige staat van je cybersecurity in kaart brengt, inclusief directe verbeterpunten.
- Security awareness training: Via het KnowBe4-platform bieden we realistische phishingsimulaties en interactieve e-learnings, gecertificeerd met het CCV Awareness Keurmerk.
- Penetratietesten: CCV-gecertificeerde specialisten simuleren realistische aanvallen en rapporteren overzichtelijk over kwetsbaarheden met concrete aanbevelingen.
- ThreadDefense: 24/7 actieve monitoring van je Microsoft 365-omgeving, werkplekken en servers tegen phishing, malware en andere digitale dreigingen.
- Endpoint Detection en Response (EDR): Signalering van afwijkend gedrag op apparaten, zodat een aanval vroeg wordt gestopt.
Wil je weten hoe goed jouw organisatie beschermd is tegen ransomware? Neem contact met ons op voor een vrijblijvend gesprek of vraag direct een Security 0-meting aan. Dan weet je precies waar je staat en wat de volgende stap is.
Related Articles
- Wat is phishing en hoe herken je een nep-e-mail?
- Hoe zorgt een goede back-upstrategie ervoor dat ransomware minder schade aanricht?
- Hoe stel je een phishing-meldprocedure in voor jouw medewerkers?
- Wat is spear phishing en waarom is het gevaarlijker dan gewone phishing?
- Hoe infecteert malware jouw bedrijfsnetwerk zonder dat je het doorhebt?