Ransomware betalen is misdaad financieren. Zo doorbreek je de cyclus
Hoe ransomware datadiefstal democratiseerde
13 januari 2023 -
Ransomware-aanvallen hebben het nieuws de afgelopen twee jaar gedomineerd en zullen ook in 2023 de cybersecurity-agenda blijven beheersen. Terwijl ransomware-groepen succesvol blijven in het afpersen van bedrijven, financieren degene die losgeld betalen wel de ransomware-industrie en verdere criminaliteit.
Met een toenemend aantal aanvallen op kritieke infrastructuur en de gezondheidszorg, zijn deze aanvallen meer geworden dan een zakelijk probleem. Hoe zijn we hier gekomen? Wat zijn de implicaties voor de maatschappij? En wat moeten organisaties doen om de cyclus te doorbreken? Edwin Weijdema, Field CTO EMEA & Lead Cybersecurity Technologist bij Veeam geeft antwoord.
Hoe ransomware datadiefstal democratiseerde
Weijdema: "Cybercrime bestaat al sinds de jaren ‘80 en sindsdien is de cybersecurity-industrie voortdurend aan het evangeliseren (of "angst aan het zaaien", afhankelijk van wie je het vraagt) over cyberdreigingen. In de laatste vijf jaar zijn deze ontwikkelingen in een stroomversnelling geraakt. Naar verluid is in het afgelopen jaar alleen al maar liefst 90 procent van de organisaties in aanraking gekomen met ransomware. Hoewel de steeds digitaler wordende wereld een belangrijke bijdrage heeft geleverd aan deze resultaten, denk ik dat de grootste drijfveer is dat kwaadwillenden een effectieve manier gevonden hebben om geld te verdienen met cybercriminaliteit. In wezen gewoon een meer ‘commerciële’ vorm van malware, de methoden om ransomware op een apparaat te installeren, zoals phishing of kwaadaardige URL's, zijn niet veel veranderd.
Financieel gewin is altijd een van de grootste drijfveren geweest voor cybercriminelen, dus waarom hebben ze er zo lang over gedaan om dit punt te bereiken? Het antwoord onderstreept de duistere eigenschappen van nieuwe digitale innovaties. Deze digitale innovaties hebben hacking-groepen namelijk de perfecte gateway gegeven voor hun misdaden. Cryptocurrencies zoals bitcoin en de blockchain-technologie die cybercriminelen beveiligt, bieden namelijk een betrouwbare en bijna onvindbare methode om geld af te persen. Dit heeft cybercriminele groeperingen veranderd in professionele money-making machines. Zo blijkt uit gelekte documenten dat Conti, een van de meest notoire ransomware-groepen ter wereld, een HR-afdeling heeft, prestatie reviews en zelfs een werknemer van de maand."
Het grotere plaatje
Weijdema: "Naast de financiële en reputationele schade die ransomware-aanvallen kunnen veroorzaken, moet men ook kijken naar het grotere plaatje. Cybercrime is een industrie met ervaren specialisten en speciale leveranciers van tools en services. Het heeft zich zelfs gemoderniseerd tot het punt waarop RaaS (Ransomware-as-a-Service)-producten gekocht kunnen worden op abonnementsbasis. Zoals elke industrie heeft het winst nodig om te groeien, uitbreiden en ontwikkelen. Het betalen van losgeld gooit alleen maar extra olie op het vuur en het zijn niet alleen maar bedrijven die hier de gevolgen van zullen ondervinden.
Overheden, ziekenhuizen en kritieke infrastructuren, zoals de logistieksector en scholen, worden steeds vaker slachtoffer van ransomware-aanvallen. Aanvallen op ziekenhuizen komen schrikbarend veel voor in de VS en ook hier in Europa, en pas eind 2022 heeft de Amerikaanse regering meer dan 30 landen bijeengeroepen om de aanhoudende ransomware-aanvallen op kritieke infrastructuur aan te pakken. Dit gaat niet alleen om nation-state cyberaanvallen maar om dezelfde cybercriminelen die bedrijven aanvallen. Zo hebben twee gelieerde bendes van Conti kritieke infrastructuursectoren in Europa aangevallen, waaronder energie en farmaceutica.
Ondanks dat veel groepen zeggen dat zij geen kritieke infrastructuur aanvallen om ethische redenen of vanwege de angst voor diplomatieke gevolgen, discrimineert ransomware niet. De methoden die gebruikt worden zijn wijdverspreid en publieke services kunnen daar makkelijk onderdeel van zijn. Aangezien ze grote en kleine organisaties, zowel publieke als private, over de hele wereld treffen, zijn het beschermen van jezelf en het niet betalen van losgeld cruciale stappen om deze crisis te beëindigen. Het is dan ook terecht om te zeggen dat organisaties een zakelijke verantwoordelijkheid hebben door misdaad niet te financieren middels het betalen van losgeld aan cybercriminelen. Maar wat moeten bedrijven dan wel doen?"
Wat moeten bedrijven doen?
Weijdema: "Het klinkt misschien alsof het gewicht van de wereld op de schouders van het cyberbeveiligingsteam rust, en hoewel het niet te ontkennen valt dat ze enorm onder druk staan door ransomware, kunnen bedrijven dit niet bij de bron stoppen. In plaats daarvan moeten organisaties zichzelf beschermen en de (crypto) cash flow naar de criminele industrie helpen stoppen.
Het voorkomen van ransomware vereist een combinatie van mensen, processen en technologie. Het is belangrijk om daarbij te benadrukken dat de digitale wereld en de echte wereld niet zo verschillend zijn. Open ramen moeten ‘s nachts gesloten worden (patching), dubbele sloten zijn beter dan een slot (multi-factor authenticatie), belangrijke voorwerpen of informatie moet in een kluis zitten (dataprotectie) en de grootste beveiligingsrisico’s zijn vaak mensen (insider threats of processen niet volgen).
De laatste verdedigingslinie zijn de back-up- en recovery-processen. Ransomware-eisen kunnen genegeerd worden als een organisatie zijn kritieke data gebackupt heeft waarmee ze versleutelde systemen kunnen herstellen. Niet alle back-ups zijn echter gelijk. Naarmate ransomware en cybercriminelen steeds geavanceerder worden, zijn back-up repositories steeds vaker doelwit. Volgens het 2022 Ransomware Trends Report waren back-up repositories in 2021 doelwit van 94 procent van de ransomware-aanvallen, waarom 68 procent succesvol waren.
De oude regel voor back-ups was om minstens drie kopieën van (kritieke) data te creëren, op twee verschillende typen media, waarvan een off site bewaard werd. Dit staat bekend als de 3-2-1-regel. Ransomware komt tegenwoordig echter veel vaker voor, dus behalve een off site kopie, moeten moderne back-upstrategieën het hebben van een offline, air-gapped (onbereikbaar) of onveranderlijke (onveranderlijk) kopie. Door deze hernieuwde back-up-regel na te leven en met een robuust herstelproces (design for recovery) kan een bedrijf met vertrouwen herstellen van ransomware-aanvallen zonder ook maar te overwegen om losgeld te betalen."
Het doorbreken van de cyclus
Weijdema : "Ransomware heeft datadiefstal gedemocratiseerd en heeft cybercrime in een winstgevende sector veranderd. Hoewel het niet de verantwoordelijkheid is van bedrijven om dit probleem bij de bron aan te pakken, hebben zij wel een zorgplicht ten opzichte van andere organisaties en kritieke infrastructuur om het vuur niet verder aan te wakkeren. Overheden moeten een oplossing voor dit probleem vinden (als er een gevonden kan worden), maar bedrijven moeten investeren in ransomware preventie om zichzelf en anderen te beschermen van enorme financiële schade en het financieren van misdaad"
