Als jouw bedrijf door ransomware wordt getroffen, moet je direct handelen: isoleer de getroffen systemen, schakel je ICT-partner in en doe aangifte bij de politie. Hoe sneller je reageert, hoe kleiner de schade. Ransomware is een vorm van malware die bestanden versleutelt en losgeld eist om ze te ontgrendelen. Voor MKB-bedrijven zonder gespecialiseerd securityteam kan een aanval verwoestend zijn. Dit artikel beantwoordt de meest gestelde vragen over wat je moet doen tijdens en na een ransomware-aanval.
Hoe snel verspreidt ransomware zich door een bedrijfsnetwerk?
Ransomware kan zich binnen enkele minuten tot uren door een volledig bedrijfsnetwerk verspreiden. Zodra malware één apparaat infecteert, zoekt het automatisch naar andere verbonden systemen, gedeelde schijven en netwerkopslag om ook die te versleutelen. Hoe groter en opener het netwerk, hoe sneller de verspreiding.
De snelheid hangt af van het type ransomware en de inrichting van je netwerk. Moderne ransomware-varianten zijn ontworpen om actief door netwerken te bewegen, ook wel lateral movement genoemd. Ze misbruiken zwakke wachtwoorden, onbeveiligde netwerkshares en verouderde software om van systeem naar systeem te springen.
Daarom is de eerste reactiesnelheid zo bepalend. Elke minuut dat een geïnfecteerd apparaat verbonden blijft met het netwerk, vergroot de kans dat meer systemen worden aangetast. Segmentatie van je netwerk, waarbij afdelingen of systemen van elkaar gescheiden zijn, beperkt de verspreiding aanzienlijk. Zonder die segmentatie kan één klik op een phishingmail resulteren in het volledig platleggen van je bedrijfsinfrastructuur.
Welke eerste stappen moet je direct zetten na een ransomware-aanval?
Zet direct na het ontdekken van een ransomware-aanval deze stappen: isoleer de getroffen systemen van het netwerk, schakel je ICT-partner in, documenteer wat je ziet en raak de versleutelde bestanden verder niet aan. Snel en geordend handelen voorkomt dat de aanval zich verder verspreidt.
Volg deze volgorde zo nauwkeurig mogelijk:
- Koppel getroffen apparaten los van het netwerk, zowel bekabeld als draadloos. Trek indien nodig de netwerkkabel eruit of schakel wifi uit op het apparaat.
- Schakel geen apparaten uit tenzij je ICT-partner dit adviseert. Sommige forensische informatie gaat verloren bij een harde afsluiting.
- Neem contact op met je ICT-partner of een gespecialiseerd incident response team. Zij kunnen de omvang van de aanval beoordelen en herstelstappen coördineren.
- Documenteer alles: maak screenshots van losgeldboodschappen, noteer tijdstippen en welke systemen zijn getroffen.
- Informeer intern de juiste mensen, zoals de directie en de verantwoordelijke voor informatiebeveiliging, zodat beslissingen snel genomen kunnen worden.
- Doe aangifte bij de politie. Dit is niet alleen nuttig voor opsporing, maar ook relevant voor eventuele meldplichten.
Wat je niet moet doen: probeer de ransomware niet zelf te verwijderen en betaal niet zonder eerst juridisch en technisch advies in te winnen. Beide acties kunnen de situatie verergeren of bewijsmateriaal vernietigen.
Moet je losgeld betalen bij een ransomware-aanval?
Het advies van cybersecurityexperts en overheidsinstanties is eenduidig: betaal het losgeld niet. Betaling geeft geen garantie dat je bestanden worden hersteld, stimuleert criminelen om door te gaan met aanvallen en maakt jouw organisatie mogelijk een herhaaldoelwit.
Toch worstelen veel bedrijven met deze beslissing, zeker als kritieke bedrijfsdata op het spel staan en er geen bruikbare back-up beschikbaar is. Enkele overwegingen die relevant zijn:
- Zelfs na betaling ontvangen slachtoffers niet altijd een werkende decryptiesleutel.
- Criminelen kunnen de data alsnog publiceren of doorverkopen, ook na betaling.
- Betaling via cryptovaluta maakt het lastig om aangifte te doen of schade te verhalen.
- In sommige gevallen staat de aanvaller al weken in je systemen voordat de ransomware actief wordt. Betaling lost dat onderliggende probleem niet op.
Als je overweegt te betalen, raadpleeg dan eerst een gespecialiseerde partij en de politie. In Nederland is betaling niet verboden, maar het wordt sterk afgeraden. Richt je energie liever op herstel via back-ups en forensisch onderzoek.
Wanneer ben je verplicht een ransomware-aanval te melden?
In Nederland ben je verplicht een ransomware-aanval te melden bij de Autoriteit Persoonsgegevens (AP) als er persoonsgegevens betrokken zijn bij het incident. Deze melding moet binnen 72 uur na ontdekking plaatsvinden. Afhankelijk van de sector gelden er aanvullende meldplichten.
De meldplicht onder de AVG (Algemene Verordening Gegevensbescherming) geldt wanneer ransomware toegang heeft gehad tot of persoonsgegevens heeft versleuteld. Dat is bij de meeste bedrijfsnetwerken vrijwel altijd het geval, omdat klantgegevens, personeelsdossiers of financiële informatie op de getroffen systemen staan.
Naast de AP zijn er aanvullende meldverplichtingen voor specifieke sectoren:
- Zorg: melding bij de Inspectie Gezondheidszorg en Jeugd (IGJ) en het NCSC.
- Financiële sector: melding bij De Nederlandsche Bank (DNB) of de AFM.
- Vitale infrastructuur en essentiële diensten: organisaties die onder de NIS2-richtlijn vallen, hebben uitgebreidere meldplichten en kortere meldtermijnen.
Doe ook altijd aangifte bij de politie. Dit is formeel niet verplicht, maar wel sterk aan te raden voor het dossier en eventueel strafrechtelijk onderzoek. Documenteer het incident nauwkeurig om aan alle meldverplichtingen te kunnen voldoen.
Hoe herstel je bedrijfsdata na een ransomware-aanval?
Bedrijfsdata herstel je na een ransomware-aanval primair via back-ups die niet zijn aangetast door de aanval. Het herstelproces verloopt in stappen: eerst de omgeving schoonmaken, dan de back-up terugzetten, daarna controleren of de infectiebron is weggenomen voordat je systemen opnieuw in gebruik neemt.
Een gestructureerd herstelproces ziet er als volgt uit:
- Forensisch onderzoek: laat een specialist bepalen hoe de aanval is binnengekomen, welke systemen zijn getroffen en of de aanvaller nog actief is in je omgeving.
- Omgeving schoonmaken: verwijder de malware volledig voordat je begint met herstel. Terugzetten op een geïnfecteerde omgeving maakt de back-up direct opnieuw kwetsbaar.
- Back-up selecteren: kies een back-up van vóór de infectiedatum. Houd er rekening mee dat aanvallers soms weken of maanden in een systeem zitten voordat ze ransomware activeren.
- Terugzetten en testen: zet de back-up terug en test of systemen en applicaties correct functioneren voordat medewerkers er weer mee werken.
- Monitoring: houd de herstelde omgeving extra goed in de gaten op afwijkend gedrag in de dagen en weken na herstel.
Heb je geen bruikbare back-up, dan zijn de opties beperkt. Soms zijn er publiek beschikbare decryptietools via het initiatief No More Ransom, een samenwerking tussen opsporingsdiensten en securitybedrijven. Dit is echter niet voor alle ransomware-varianten beschikbaar.
Hoe voorkom je een nieuwe ransomware-aanval na herstel?
Na herstel van een ransomware-aanval is het belangrijk om de beveiligingslekken die de aanval mogelijk maakten direct te dichten. Dat betekent: de infectiebron aanpakken, de back-upstrategie verbeteren, medewerkers trainen en technische beveiligingslagen toevoegen.
Concrete maatregelen die je direct moet nemen:
- Patch en update alle systemen en software. Verouderde software is een van de meest voorkomende ingangspoorten voor ransomware.
- Versterk toegangsbeheer met multifactorauthenticatie (MFA) op alle accounts, zeker voor remote access en beheerdersaccounts.
- Segmenteer het netwerk zodat een infectie zich niet meer ongehinderd kan verspreiden.
- Implementeer een 3-2-1 back-upstrategie: drie kopieën van data, op twee verschillende media, waarvan één offsite of in de cloud en losgekoppeld van het productiesysteem.
- Train medewerkers in het herkennen van phishing, want menselijke fouten zijn de meest voorkomende oorzaak van ransomware-infecties.
- Voer een penetratietest uit om te bepalen welke kwetsbaarheden er nog meer in je omgeving zitten.
Naast deze technische maatregelen is het verstandig om een incident response plan op te stellen. Dat is een document dat vastlegt wie wat doet bij een cyberincident, zodat je de volgende keer sneller en georganiseerder kunt reageren.
Hoe IC-Automatisering helpt bij ransomware en cybersecurity
Een ransomware-aanval overkomt ook MKB-bedrijven. Wij helpen organisaties om zich te beschermen, maar ook om snel te herstellen als het toch misgaat. Ons cybersecuritypakket is opgebouwd rond vier pijlers: beleid en organisatie, medewerkers en gedrag, techniek en continu inzicht.
Wat we concreet voor je kunnen doen:
- Security 0-meting: een assessment uitgevoerd door onze partner ThreadStone dat de huidige staat van je cybersecurity in kaart brengt, inclusief infrastructuur, processen en bewustzijnsniveau van medewerkers.
- Managed Detection & Response (MDR): ons eigen Security Operations Center (SOC) bewaakt alle endpoints continu. Verdachte activiteiten worden direct gedetecteerd en geïsoleerd voordat schade ontstaat.
- Penetratietesten: uitgevoerd door CCV-gecertificeerde specialisten van ThreadStone, die kwetsbaarheden in kaart brengen met concrete aanbevelingen.
- Security awareness training via het KnowBe4-platform, inclusief realistische phishing-simulaties en interactieve e-learnings, gecertificeerd via het CCV Awareness Keurmerk.
- Beleid en compliance: we helpen je bij het opstellen van een informatiebeveiligingsbeleid dat voldoet aan ISO 27001, NEN7510 en de NIS2-richtlijn.
Wil je weten hoe goed jouw organisatie beschermd is tegen ransomware? Neem contact op met IC-Automatisering voor een vrijblijvend gesprek of vraag direct een Security 0-meting aan.
Related Articles
- Hoe beveilig je jouw Microsoft 365-omgeving tegen aanvallen van buitenaf?
- Wat is phishing en hoe herken je een nep-e-mail?
- Wat is het gevaar van onbeheerde apparaten op jouw bedrijfsnetwerk?
- Hoe stel je conditional access in voor veilig inloggen in Microsoft 365?
- Hoe stel je een phishing-meldprocedure in voor jouw medewerkers?