Ransomware-aanvallers Ierse zorg eisen losgeld, maar premier weigert te betalen

In de zaak van de ransomware-aanval op de Ierse publieke gezondheidsdienst is inmiddels losgeld geëist, maar lerland zegt dat het niet van plan is om dat te betalen. Hoe groot het losgeldbedrag is, is niet bekend.

Dat standpunt is ingenomen door de Ierse premier Micheál Martin, zo schrijft Reuters. "We zijn er heel duidelijk in: we gaan geen losgeld betalen". Verder liet de Director-general van de Ierse Health Service Executive op de radio weten dat het om de Conti-ransomware zou gaan en tegenover Reuters meldde hij dat er een zeroday-kwetsbaarheid uitgebuit is. Ossian Smyth, de Ierse minister van eGovernment, omschrijft het als 'mogelijk de meest significante cyberaanval op de Ierse staat'.

De ransomware-aanval vond plaats op vrijdagochtend. Doordat het centrale it-systeem van de Ierse zorg is getroffen, heeft de zorg in het hele land te maken met problemen. De systemen zijn uit voorzorg offline gehaald en daardoor zijn de meeste Ierse zorgdiensten momenteel niet actief. Als de problemen maandag nog niet verholpen zijn, moeten afspraken afgezegd worden, maar omdat het systeem eruit ligt, is niet eens bekend wie dan afgebeld moet worden.

De zorgdienst werkt samen met het nationale cybersecurityteam en beveiligingsexperts om de aanval te stoppen. De Health Service Executive denkt dat de hackers binnenkwamen via het patiëntenregistratiesysteem.

Het is momenteel niet mogelijk om nieuwe afspraken voor coronatests te maken, waardoor mensen die wellicht het virus hebben, op eigen initiatief naar een inlooptestlocatie moeten gaan. Die zijn er echter in iets meer dan de helft van de 26 counties in Ierland. Het portaal voor het boeken van een vaccinafspraak was tijdelijk offline, maar werkt nu weer.

Reacties (191)

Het is een goede eerste stap. Het hele model draait er tenslotte om dat er bedrijven en overheden bereid zijn om te betalen.

Op het moment dat geen enkel slachtoffer zal betalen, dan houd het model op te bestaan. Helaas zullen we altijd slachtoffers zijn die niet ander kunnen dan betalen.

Komt dit ook niet door cryptocurrency? Zonder dat wordt het al een stuk lastiger losgeld te incasseren.

Komt dit ook niet door cryptocurrency?

is een rare voorstelling van zaken. Dat het de zaken wat makkelijker maakt (hoewel dat ook nog kan tegenvallen: de misdadigers moeten tenslotten ook nog het losgeld witwassen) betekent nog niet dat het een oorzaak is.

Ja dit komt zeker veel vaker voor door de cryptocurrency, als je ze een gemakkelijke manier van betalen faciliteerd, die elk persoon op aarde kan gebruiken, dan zal deze ook vaker gebruikt worden.
Het is gewoon te gemakkelijk om daarmee geld van punt a naar punt b waar dan ook op de wereld te krijgen. Als je dan ook nog gewoon een auto, eten of drugs mee kan kopen, wat houd je tegen.

Als ze eerst een geldezel naar ierland moesten sturen om de cash aan te nemen en daarna nog een hoop kosten hebt om deze ezel met het geld van ierland naar rusland of noord korea te transporteren dan zou dat minder vaak gebeuren gezien niet iedereen die kennis heeft. Nu kan elk scriptkiddy die leeft een cryptocurrency account aanmaken een aanval plegen via tools die hij met cryptocurrency betaald, en als hij lucky is en de hack lukt krijgt hij weer uitbetaald in cryptocurrency. Deze currency kan hij gemakkelijk kan witwassen met andere cryptocurrency of gewoon uitgeven op darkweb.

Wat alle Cryptocurrency fans ook beweren, criminaliteid word zeker beloond door cryptocurrency omdat de identiteid van de gebruiker annoniem is en je het wereldwijd kan gebruiken.

Kan wel zijn, maar de oorzaak is de lekkende software, niet het betaalmiddel.

De oorzaak zijn criminelen, de zogenaamde lekke software (wat vaak gewoon mensen zijn die onbedoeld klikken op zaken waar ze niet op moeten klikken) buiten ze uit, de makkelijke manier om anoniem wereldwijd geld te innen maakt het hele spelletje af.
Nu mag jij je best gaan doen om 1 van deze 3 zaken aan te pakken, succes.

Hoeft niet. Mijn belangrijke data staat versleuteld ergens in de cloud (tarsnap.com) en de sleutels op een paar losse USB sticks verspreid.
Laat ze 't maar proberen.

Ah zo, ja dan snap ik het. Dat ze al die patiëntengegevens maar gaan opslaan op USB sticks en verspreiden over Nederland. Kunnen we mensen in dienst nemen die dagelijks door Nederland rijden om sticks op te halen en uit te laten lezen in afgeschermde kamers beschermd tegen signalen van buitenaf. Vervolgens weer inpakken en terug naar de top secret locatie voor een volgende aanvraag.

Nee je snapt het niet. De sleutels staan op USB sticks en ik heb nooit beweerd dat zij dat ook zo moeten doen.
Ik zei alleen maar dat ik er geen last van heb.

Nja jij snapte mijn reactie op jou comment niet waarin je stelt dat de software de oorzaak is. Alsof het hebben van je portemonnee in je zak de reden is dat die gestolen is.
Dan kom jij natuurlijk met je mooie persoonlijke voorbeeld hoe jij je geld verspreid over je lichaam hebt verdeeld en je pinpas opgeknipt hebt en middels een sudoku je rekeningnummer pas zichtbaar wordt.

Ben niet boos, probeer alleen je comment te ontkrachten dat een systeem de oorzaak is van criminaliteit. Waarop je trouwens nog steeds niet gereageerd hebt, maar dat sterzijde.
Daarnaast besteden heel veel bedrijven erg veel geld om hun systeem veilig te maken. Helaas hebben criminelen toch meer geld over om het te kraken, en daarnaast blijven de medewerkers toch vaak de zwakste schakel. Dus hoe veilig jij het ook geregeld hebt, als ze jou of je moeder kidnappen om alsnog de sleutels in handen te krijgen heb je alsnog pech. Je bent nooit 100% veilig, het is maar hoe ver de crimineel wilt gaan en hoeveel hij ermee kan verdienen.

Sommige mensen zijn nu eenmaal crimineel.

Die zijn er wel, maar daar kiezen bedrijven meestal niet voor, vanwege de kosten en het risico. De meeste "normale" bedrijven (lees: Geen banken die leven van geld en geld overhebben voor dit soort zaken) hebben (nog) geen budget voor dit soort software/hardware oplossingen. Meestal zien ze pas in dat er budget voor moet komen als het al te laat is.

En dan nog, als je zoiets in zet dan wil je eigenlijk niet dat alles "op slot" word gezet, je wilt zoveel mogelijk preventief voorkomen en werken op basis van alerting, dus als er iets verdachts gebeurd dat je een melding krijgt (per sms bijvoorbeeld) zodat er een persoon naar kan kijken. Daarnaast kan zo'n oplossing ook false positives hebben, dus afgaan terwijl er niets aan de hand is, of gehacked worden zodat het lijkt alsof het draait maar ondertussen de ransomwerk haar gang gaat. De advanced threats zijn zo geavanceerd dat bijna niemand er wat aan kan doen, ze nemen ook maanden de tijd om te infiltreren zonder gedetecteerd te worden.

Dat is nog niet duidelijk. Het kan al genoeg zijn als één persoon een keer een foutje maakt bij een hosting bedrijf, faciliterend netwerk of een besmette computer op de verkeerde plek. Wie zegt dat er niet gewoon is ingebroken en malware te installeren? Sowieso kun je nooit eeuwig en alles voor zijn, zeker niet met een systeem wat jarenlang en op landelijke schaal wordt ingezet, dat lukt vaak zelfs specialisten op het gebied van beveiliging zoals bedrijven die password managers maken niet.

Hoe dan is dat geen excuus om dan maar niets aan andere factoren te doen.

Als blijkt dat bankautomaten te vaak opgeblazen of geramkraakt worden, vinden we het ook logisch dat banken andere maatregelen nemen, ter bescherming van omwonenden, zoals ‘s nachts uitzetten of in een winkel plaatsen.

Je hebt gelijk.

Crypto helpt zeker er niet bij, maar anders zouden daders waarschijnlijk gewoon geldezels gebruiken of een rekening in een land welke niet meewerkt aan justitiele onderzoeken.

Dat is toch echt een stuk moeilijker, zeker omdat overheden druk kunnen uitoefenen op landen waar deze mogelijkheden enigszins aanwezig zijn.

Ik begin steeds meer moeite te krijgen met crypto. De enorm en extreme energie verspilling, marktverstoring van GPUs/HDDs(met Chia), betaalmiddel voor de onderwereld etc.

Inderdaad, ik wilde laatst wat harde schijven kopen maar de prijzen zijn zo'n beetje verdubbeld of ze zijn niet meer verkrijgbaar enkel door Chia. Het is echt om moedeloos van te worden momenteel. Ik kan ook niet wachten op de crash.

Het is natuurlijk makkelijk om crypto als schuldige aan te wijzen maar met elke nieuwe technologie komen ook nieuwe verantwoordelijkheden. Op zich is de transparantie van bepaalde cryptomunten zelfs ongeëvenaard. Ook het energie verbruik en verspillen van chips maakt deel uit van het groeiproces, laten we hopen dat dit niet te lang meer duurt. Maar om alle crypto over de zelfde kam te scheren is nogal kort door de bocht.

[Reactie gewijzigd door jozakin op 15 mei 2021 15:38]

slap gelul, het 'groeiproces' als dooddoener om de pure gewetenloze hebberigheid te verdoezelen. Niemand doet aan crypto vanuit nobele principes. Gewoon geen haar beter dan het banksysteem waarvoor het zogenaamd een alternatief is.

Ons volledig liberaal systeem is niet echt op nobele principes gestoeld vb patenten op covid vaccins waarvan onderzoek is betaald door de belastingbetaler... Sommige cryptos hebben als doel mensen een identiteit geven in landen waar er momenteel geen infrastructuur voor is. Aan die identiteit kunnen eigendommen, diploma's, kapitaal etc. gekoppeld worden. Of dit ook daadwerkelijk van de grond gaat komen is nog maar de vraag. Dit is het potentieel van bepaalde cryptonetwerken die een marginaal energieverbruik hebben. Zonder Bitcoin waren die er ook nooit gekomen. Maar goed ieder zijn ding zeker.

natuurlijk zijn er allerlei effecten maar dat is niet de drijfveer.Zoiets als arme boeren in Colombia steunen in de cocaine teelt.Goed voor hen, slecht voor de rest van de wereld. In de basis is het een directe conversie van grondstoffen en energie in geld, voor ierdereen toegankelijk, en dat wordt echt niet beter op den duur, na die zn groeifase. Het is een persoonlijk keus of je aan dit verspillingscircus meedoet. Jammer dat de meesten voor hun eigen portemonnee kiezen.

Ik wist van de torenhoge GPU prijzen, maar wat is er met HDD's die worden gebruikt in cryptomining. Hoe werkt dat?

Zoek maar eens op Chia crypto. Daardoor zijn alle disks nu uitverkocht of in prijs verdubbeld.

Maargoed de bubbel gaat vroeg of laat toch barsten. Iedereen zit nu in crypto omdat de centrale banken geld blijven bijdrukken en niemand van gekkigheid weet wat ze ermee moeten doen. Zodra dat stopt en de rente stijgt vlucht iedereen weer weg uit crypto.

Idd, zonder Crypto munt wordt veel makkelijker om de geldstroom te achterhalen.

Dat is lang niet zo betrouwbaar en makkelijk als cryptos: drop locatie nodig (risico), genummerde biljetten bij cash, bankrekingen zijn een gesloten paper trail daar zitten echt niet veel loopholes in, een fysieke witwasconstructie verder nog benodigd...
Cryptos: 100% anonieme wallet, just a few clicks, tumblertje of 2 en klaar.

Dus conclusie: crypto is een duidelijke enabler.

[Reactie gewijzigd door Edgarz op 15 mei 2021 15:25]

Het verbieden van omzetten van crypto naar cash of op de bankrekening kan dit soort beunhazerij en nog veel meer ultiem kwaad (zoals drughandel) meteen tot in de kiem smoren. Waarom moeten wij gewone burgers dat altijd vertellen? Waarom kan de politiek nu eens niet meteen ingrijpen?
Crypto-munten zijn toch niet van gisteren?
Bovendien zijn Crypto-munten ook nog 's extreem belastend voor het millieu. Dus moet er een heffing komen - gezien men die niet betaald mag de bbi in stelling komen met z'n 100% heffingen.
Da's heel goed voor onze begrotingen die door corona onder druk staan.

Het draaien van cryptos naar cash kun je pas verbieden als cryptos illegaal zijn. En dat zijn ze niet, ze worden gezien als een 'gewoon' beleggingsinstrument (zie de reden waarom Tesla zo fors in de BT stapte: rendement door koerswinst).

En daarbij: Het verbod hiertoe zou ook leiden tot een vergroting van het illegale banken circuit, oftewel partijen die tegen een forse discount cryptos inwisselen voor contanten, aangezien je het minen van cryptos zeer moeilijk kunt verbieden/verhinderen.

Dat de wereld beter af is zonder deze aarde-vernietigende cryptos staat als een paal boven water, alhoewel de alleen op eigenbelang gerichte meute daar absoluut geen boodschap aan heeft. Het ontbreken van enige moraal en ethiek over maatschappelijk welzijn is een eigenschap die het kapitalisme en neo-liberalisme (Trickle down Reaganomics walhalla, Friedman) er in de jaren 80 goed ingestampt hebben. Greed is Good, weet je nog?

Dat moeten 'gewone burgers' niet vertellen, want dat gaat volkomen tegen hun belang in.

Zo'n "ander land" kan anders makkelijk te maken hebben met blokkades van overboekingen. Of boycots.
Een land als Noord-Korea leent zich hier vast wel voor, maar ik denk niet dat ik daar zomaar geld naar kan overmaken.

Heeft niks met "crypto" te mamen. Meeste misdaad wordt uitbetaald in $$$

$$$ worden de laatste jaren in gigantische aantallen bijgedrukt, dat is pas diefstal op wereldschaal ..

De meest gebruikte currency voor crimineel geld is de Amerikaanse Dollar. En dan heb je het over een factor enkele miljoenen meer.

Er wordt ook wel eens een crypto currency gebruikt door de "hippe" criminele it'er, en dat komt dan in het nieuws.

Beetje hetzelfde als electrische auto die spontaan in brand vliegen. In verhouding vliegen er veel brandstof auto's spontaan in de fik jaarlijks, maar das geen nieuws. Probleem is dat mensen moeite hebben om te relativeren en dus vliegen heel veel EV's spontaan in brand en wordt crypto vooral door criminelen gebruikt.

[Reactie gewijzigd door Flagg op 15 mei 2021 19:23]

Je bagatelliseert het nu door het om te draaien. Logisch dat in absolute zin het meeste criminele geld in dollars omgaat, als de dollar a) de meestgebruikte valuta is en b) populair is voor internationaal betalen.

Maar het gaat niet om criminelen in zijn algemeen, het gaat om cyber-criminelen. Iedereen met een e-mailadres krijgt tegenwoordig spam waarin men dreigt bijvoorbeeld webcamvideo’s van je publiekelijk te maken en of je maar even een x bedrag in bitcoin wil betalen.

Het komt niet door de cryptocurrency. Het komt omdat dit soort trieste figuren geld willen eisen over de rug van anderen.

Zo zou je de toename van ramkraken kunnen leggen bij de autofabrikanten...

Zo werkt het niet.

En crypto maakt het doodeenvoudig. Voor een ramkraak moet je nog fysiek daar aanwezig zijn. Om cash geld in ontvangst te nemen ook

Er is voor dit soort afpersing meer nodig dan alleen maar Cryptocurrency.

Zo simpel is het allemaal niet, net als bij een ramkraak.
De daders zullen veel meer moeten doen om een systeem te kapen dan alleen maar gebruik maken van een digitale munt.

[Reactie gewijzigd door jqv op 16 mei 2021 14:34]

Gijzeling bestaat al duizenden jaren, heel wat langer dan crypto. Crypto lijkt het anoniem incasseren dan wat eenvoudiger te maken, het maakt je zeker niet onaantastbaar. En wanneer een overheid écht wil, dan pakken ze je vroeg of laat wel.

Een typisch Grapperhaus-idee.

Al worden alle vormen van cryptocurrency verboden (zie dat maar al volledig te bewerkstelligen), dan gaan criminelen over op de middelen van vóór de tijd dat cryptocurrency bekend was.

Cryptocurrency is niet het doel, maar een van de vele middelen.

Nee hoor, ze blijven gewoon onderling met crypto betalen, en gehackten moeten daar dan nog steeds mee betalen.

Koffertje onder de brug / in de prullenbak met 5 miljoen erin werk dan ook wel prima. Iets lastiger.

Ja en dan de politie die je op staat te wachten als je het op komt halen. En dan moet je nog van en naar Rusland met 5 miljoen (vanuit Ierland). Niet echt praktisch.

Crypto currency is gebaseerd op een blockchain. Het kan wel naar een wallet worden overgemaakt, maar dat is voor de hele blockchain (lees wereld) zichtbaar. Dat geldt voor iedere transactie. Je kunt het dus niet zo maar verkopen/inwisselen voor geld waar je eten/hotel/huizen voor kunt kopen. De witwas procedure is voor crypto's zeker complexer dan bij het bancaire systeem omdat er nooit een huiszoekingsbevel nodig is en er geen bankgeheim is. Even via de Kaaimaneilanden enSheyshellen doorboeken naar brievenbusfirma's zal je niet mee weg komen....

Meer dan 90% van alle spam op internet verdwijnt in een spamfilter. Toch blijft het overgrote deel van email bestaan uit spam. Er moet maar een klein percentage intrappen om het lucratief te maken. Zo ook met dit soort van ransomware. Een klein deel van de slachtoffers hoeft maar te betalen en het is al een winstgevende onderneming. En van zodra dat er niet meer is verschuiven ze hun aandacht weer. Dat zie je nu al bij menig ransomware aanval waarbij niet alleen data versleuteld wordt, maar ook gestolen wordt met het dreigement dat als niet betaald wordt de gevoelige informatie openbaar gemaakt zal worden.

Op het moment dat organisaties een convenant tekenen waarin ze plechtig zweren nooit losgeld te zullen betalen, kan de lijst van ondertekenaar gebruikt worden door criminelen om te kijken bij wie het geen zin heeft om het te proberen. Dan zullen ze liever andere doelen kiezen. Wat mij betreft moet zo snel mogelijk met zo'n convenant begonnen worden.

Hoe recht blijft je rug als er doden kunnen vallen?
En hoeveel doden moeten dat dan zijn voor men wel overstag gaat?

Die doden staan op het geweten van de daders,niet degenen die weigeren te betalen.

Zou dat ook je reactie zijn als een dierbare wordt ontvoerd? Gok van niet. Soms moet je je vierlies nemen om levens te redden.

Losgeld voor een kidnapping is zelden de juiste stap. Eenmaal je het geld betaald hebt, is er geen enkele reden om een getuige die de daders gezien heeft goed te behandelen.

Hetzelfde hier, eenmaal je betaalt kunnen ze een hoger bedrag eisen of gewoon communicatie afsluiten, het blijven criminelen.

Het beste is uitzoeken waar ze vandaan komen (meestal India, China of Rusland) en dan een raketje in hun achterste.

Aan de andere hand is de Conti ransomware niet echt nieuw. De versie die hier in Ierland en ook in de VS pijplijn gebruikt is gebruikt onderdelen van Cobalt Strike dat gewoon commercieel beschikbaar is (een systeem in de richting van Nessus) bekend is en geblokkeerd wordt door nagenoeg alle antivirus systemen. De specifieke aanval blijkt van 2017 te stammen. 3-4 jaar achter de feiten aanlopen noem ik geen zero-day.

15 mei 2021 23:39
Losgeld voor een kidnapping is zelden de juiste stap. Eenmaal je het geld betaald hebt, is er geen enkele reden om een getuige die de daders gezien heeft goed te behandelen.

Ik zou dan toch maar wat programma's bekijken over bendes die kidnappen. Gebeurd vooral veel in Zuid-Amerika. Betalen is vrijlaten juist, niet altijd maar in de meeste gevallen juist wel.

Daar kopen de nabestaanden niets voor, dood is dood.
En als je de doode van een ander kan voorkomen en je doet niks, ben je dan niet zelf ook medeverantwoordelijk?
Dat zijn de morele dillema's waar men mee te maken krijgt.
Dreig een ziekenhuis met het afsluiten van de stroom en ze kunnen weinig anders dan betalen.
Ook al is het nooit slim om met gijzelnemers te onderhandelen, men kan ook niet het risico nemen dat de gijzelaars gedood worden.

Maar de weigeraar had die doden kunnen voorkomen... Lastig dilemma, ik snap je punt maar het is eenvoudig anders te framen.

Nee, maar wanneer je systeem gehackt is en jij weigert het losgeld te betalen om te zorgen dat die doden niet vallen. Dan had jij dus die doden kunnen voorkomen. Vooral in de positie van een overheid is het natuurlijk wel een discussie puntje. Hier zal ook geen goed of fout zijn, het is meer een ethisch dilemma eigenlijk.

Nee tuurlijk kan dat niet. Maar als je moet kiezen tussen een miljoen dollar losgeld of 100 doden en 1000 mensen met levenslange nasleep van ziekte, heb je wel degelijk de mogelijkheid om het te voorkomen. Stel dat het nog meer mensenlevens kost, ga jij als minister dat aantal laten oplopen alleen maar om een principekwestie? En wat als je eigen partner ziek is en de zorg nodig heeft, ga jij dan ook nog op je strepen staan? Als de zorg plat ligt en het enkele weken kost om te herstellen (als dat al kan) zijn de gevolgen niet te overzien. Betalen wordt veelal nog steeds als snelste en effectiefste oplossing gezien.

Je hebt geen enkele garantie dat het losgeld betalen ertoe zal leiden dat er geen doden vallen. Totaal geen enkele.

Dat is misschien ook de gedachtegang van deze figuren.
En dat maakt het zo enorm ziek. Jezelf willen en durven verrijken over de dood van anderen.
Vreselijk ziek in je hoofd ben je dan in mijn ogen.

Ik snap dat mensen die beslissing nemen. Daarom is het denk ik aan overheden om een keihard wettelijk verbod in te stellen.

En wat ga je doen als het daarna toch nog gebeurd? Ddos attacks blijven ook nog geregeld plaatsvinden, ook daar wordt geen losgeld voor geplaatst. Het is wel een bizar grote gok die je neemt door te zeggen dat het daarna niet meer gaat gebeuren.

Het zal in elk geval verminderen. De grote motivatie voor de meeste rekenaargijzelingen is immers het losgeld.

Dat gaat in de praktijk natuurlijk nooit gebeuren. Hooguit dat de hackers een paar ton vragen ipv miljoenen. Wanneer het gat tussen de kosten van de schade en het te betalen bedrag groot genoeg is, zal er altijd betaald worden. Zie ook die pijplijn hack. Dat zou het hele land miljarden gekost hebben, dan is die paar miljoen om het probleem per direct opgelost te hebben natuurlijk verwaarloosbaar.

Die paar miljard zijn peanuts vergeleken bij de totale schade op de lange termijn. Maar sowieso, ik ben voor een wettelijk verboden op het betalen van losgeld. Een directeur die hierin de wet overtreedt wordt persoonlijk gestraft. Dan leren organisaties het wel af, en wordt het niet meer lonend om organisaties in zulke landen te gijzelen. Er is geen andere manier om het probleem op te lossen: we kunnen geen fregatten meesturen zoals langs de Somalische kust.

Voor dit ene bedrijf is dit een paar miljoen, en met hun winsten kunnen ze dit probleemloos elk kwartaal betalen. Zij hebben geen enkele reden om zich het lot van de hele wereld aan te trekken en een principieel punt te maken voor bedrijven in andere landen waar zij helemaal niets mee te maken hebben. Het zou mooi zijn, maar je voorstel doet een moreel beroep op mensen. Helaas beschikken maar weinig mensen en vooral bedrijven, over een stevig moreel compas.

Als jouw geliefde of kind in een gehackt ziekenhuis ligt te sterven en ze voor een paar duizend euro weer de zorg kan krijgen die ze nodig heeft, dan denk (/hoop) ik dat jouw principes ook vrij snel het raam uit gaan. Het is gewoon niet hoe het werkt.

Die fregatten langs Afrika is trouwens wel een mooie vergelijking. Want het is beveiliging, en daar valt met ict juist vaak zat mee te doen ter voorkoming van ditsort ellende. En ik denk dat de effectiviteit ervan een stuk hoger zal liggen dan een paar schepen die vele duizenden kilometers aan kust moeten beschermen.

Het zou mooi zijn, maar je voorstel doet een moreel beroep op mensen. Helaas beschikken maar weinig mensen en vooral bedrijven, over een stevig moreel compas.

Daarom juist moet je het niet daarvan af laten hangen maar verbieden.

Als jouw geliefde of kind in een gehackt ziekenhuis ligt te sterven en ze voor een paar duizend euro weer de zorg kan krijgen die ze nodig heeft, dan denk (/hoop) ik dat jouw principes ook vrij snel het raam uit gaan. Het is gewoon niet hoe het werkt.

Dit zijn een beetje te makkelijke, zwart/wit voorbeelden want van mensen die in een ziekenhuis liggen weten we heus nog wel wat ze mankeren en wat ze nodig hebben.

Die fregatten langs Afrika is trouwens wel een mooie vergelijking. Want het is beveiliging, en daar valt met ict juist vaak zat mee te doen ter voorkoming van ditsort ellende.

Het is appels met peren vergelijken, want bij ict is één keer een zwak punt creëren (hallo stagiaire met gevonden usb-stick) in principe voldoende om het hele systeem te gijzelen. Iets wat met een vloot koopvaardijschepen niet lukt.

Daarom juist moet je het niet daarvan af laten hangen maar verbieden.

Er zullen altijd uitzonderingssituaties te bedenken zijn waarbij die wet gebroken moet worden. Het geval van die pijplijn had de potentie om half Amerika voor weken plat te leggen. Principiële strijders daargelaten, geeft in zo'n scenario niemand iets om zo'n wet en zal letterlijk iedereen aandringen op het zo snel mogelijk betalen om het op te lossen. Één uitzondering leidt tot meer uitzonderingen en anders wel loopholes om alsnog te kunnen betalen. Bedrijven die zich daaraan schuldig maken, zullen bijna netzo moeilijk te traceren zijn als de hackers die de boel platleggen.

Dit zijn een beetje te makkelijke, zwart/wit voorbeelden want van mensen die in een ziekenhuis liggen weten we heus nog wel wat ze mankeren en wat ze nodig hebben.

Mijn ervaringen met mensen en ICT wekken bij mij het vermoeden dat je hier echt veel te makkelijk over denkt. Als zuster 1 niet goed kan registreren hoeveel ze wanneer aan wie heeft toegediend, dan is er een goede kans dat de zuster van 2 of 3 shifts later, teveel, te weinig of aan de verkeerde patient iets toedient met alle gevolgen van dien. En dan kun je zeggen 'dat kan prima op papier geregistreerd worden', maar ik denk dat je dan een klein beetje onze afhankelijkheid van computers onderschat en het menselijke aanpassingsvermogen overschat. Bovendien kunnen zaken zoals CT scans en röntgen fotos dan misschien niet meer gemaakt worden. Hoe weet je dan wat ze mankeert?

Het is appels met peren vergelijken, want bij ict is één keer een zwak punt creëren (hallo stagiaire met gevonden usb-stick) in principe voldoende om het hele systeem te gijzelen. Iets wat met een vloot koopvaardijschepen niet lukt.

Sja, beiden een resultaat van te weinig beveiliging, 1 onbewaakt schip vinden en het hele schip is verloren. Ik begon niet met deze vergelijking en ik denk dat het al wel duidelijk was dat je er van 1000 kanten naar kunt kijken. Wat betreft de usb-stick, dat is ook een kwestie van dichttimmeren. Het probleem is dat bedrijven te weinig geven om beveiliging, tot het mis gaat. Ik zag het laatst weer bij een zorginstelling, computers op het bureau met de achterkant (usb poorten) gericht naar de bezoeker. Bizar.

Het niet-betalen van losgeld is gewoon geen oplossing. Dan blijven de (cyber)terroristen en gekkies over die niet uit zijn op geld, maar op narigheid.

Sja, beiden een resultaat van te weinig beveiliging, 1 onbewaakt schip vinden en het hele schip is verloren.

Ja, het hele schip / ziekenhuis maar niet heel de vloot / heel het centrale systeem van de Ierse gezondheidsdienst.

Het verschil tussen fysieke en digitale systemen is dat de digitale variant vaak fantastisch goed schaalt. Dat heeft grote voordelen maar bij randsomware navenante nadelen.

Uiteindelijk vrees ik dat je dit toch nooit 100% kan voorkomen met beveiligingen, omdat meestal de menselijke factor de zwakste schakel blijkt. Je hebt nou eenmaal altijd mensen nodig die zo’n systeem aan de praat houden en bewerken.

Dan zie ik nog meer in compartimentiseren. Zorgen dat een backup niet meer veranderd kan worden etc.

USB-poorten zijn niet erg, die zitten er nou eenmaal standaard op ook en zo, als de drivers onklaar maar gemaakt zijn Serieus, dat is vaak hoe dit opgelost wordt. Dan nog: Een willekeurige terminal / medewerker moet gewoon geen kwaad kunnen doen aan het centrale systeem.

Zo'n convenant is in de praktijk meestal niets waard. Als er echt belangrijke bestanden gegijzeld worden, dan zal men (convenant of niet) toch overgaan tot betaling.
Men kan beter een recherche-team oprichten om de mensen achter de hacks op te sporen. Er moeten immers sporen zijn. Daarnaast zouden software leveranciers ook op hun verantwoordelijkheden gewezen moeten worden, zodat bekende zwakheden binnen een korte tijd gedicht moeten worden. Anders zal men best eens kunnen proberen om de leverancier van de software aansprakelijk te stellen.
Om de effecten van een cyberaanval te kunnen beperken kan men zelf ook wel het een en ander doen. Denk aan het maken van backups die enkele maanden bewaard worden en niet online beschikbaar zijn. Die oude tape-backups waren wat dat betreft zo gek nog niet.

Softwareleveranciers aansprakelijk stellen is een interessante, maar ik weet niet of dat werkbaar zou zijn. Die andere dingen worden al geprobeerd, maar het lukt al decennia niet.

De enige structurele oplossing is een absoluut verbod op het betalen van losgeld, waarbij directeuren persoonlijk gestraft worden als de organisatie toch betaald. Dat is even door de zure appel heen bijten, maar anders kun je dit probleem nooit oplossen: je moet het bij de wortel aanpakken.

Directeuren persoonlijk straffen gaat nooit lukken bij grote BV's en zeker niet bij (semi) overheden.
Backup-systemen zijn er lang niet altijd meer, zeker niet in parate staat. Bedrijven maken zich daardoor kwetsbaar.
Nu steeds meer systemen gewoon als service worden ingekocht moet je eigenlijk ook de verantwoordelijkheid naar de leverancier verschuiven. Die zou eigenlijk ook snel een back-up systeem moeten kunnen installeren, wat binnen een bepaalde tijd met data uit een back-up weer in de lucht kan.

Dat gaat wel lukken als het in de wet staat. De anonimiteit en straffeloosheid van directeuren van grote bedrijven is sowieso iets wat zijn beste tijd gehad heeft.

Het is lastig in de wet te krijgen. In geen enkel land is een directeur van een NV hoofdelijk aansprakelijk voor daden van het bedrijf. Anders regelen ze het wel zo dat de betalingen via een bedrijf zonder duidelijke directie worden gedaan.
Het zou overigens wel goed zijn als directeuren van grote bedrijven wel (deels) persoonlijk aansprakelijk gesteld kunnen worden op het gedrag van het bedrijf.

Nog niet inderdaad, maar je hoort steeds meer geluiden. Ik denk dat de tijdgeest langzaam in die richting aan het opschuiven is. We moeten zien of het lobbyisten lukt de tijdgeest te breken.

Ik ben bang dat de sterkste lobbyisten (die met het grootste budget) de persoonlijke aansprakelijkheid juist tegen gaan houden.
Bij kleine bedrijven zijn de eigenaren financieel al persoonlijk aansprakelijk, wel zo eerlijk als dat bij de grote bedrijven ook zo zou worden.

Dat is juridisch totaal niet uitvoerbaar! Je kunt NOOIT iemand veroordelen voor de misdaden van een ander (tenminste niet zonder de rechtstaat te ondermijnen).
Je kunt de directeur uitsluitend veroordelen voor acties waarvan je kunt aantonen dat de directeur opdracht gaf de wet te breken terwijl je ook kunt bewijzen dat diezelfde directeur op de hoogte gesteld was dat de actie verboden is.
Wanneer et lager management denkt er goed aan te doen de wet te breken (in de hoop op goed resultaat en dus promotie) dan moet je verdomd goed zoeken, wil je dat aan de directie weten aan te wrijven...

Op dit moment kan dat inderdaad niet, maar ik denk dat er dus steeds meer mensen zijn die willen dat dit wel wettelijk mogelijk wordt. Als directeur word je persoonlijk aansprakelijk, dat wil zeggen: de bewijslast wordt omgekeerd. Moet je eens kijken hoeveel beter bedrijven zich dan aan de wet zullen houden.

Op dit moment kunnen ze zich altijd verschuilen achter "ik wist het niet" of "ik kan het me niet herinneren", het proberen af te schuiven op ondergeschikten, die niet vindbaar zijn of weer doorverwijzen, waardoor uiteindelijk niemand echt verantwoordelijk gehouden kan worden.

Als je zo'n vorstelijk salaris verdient, mag je ook verantwoordelijk gehouden worden voor bepaalde dingen die in het bedrijf gebeuren, ook al heb je het niet persoonlijk gedaan. Als het bedrijf dan zo ingericht is dat ernstige misdaden kunnen plaats vinden, had je daar maar iets aan moeten doen. Zo niet, dan moet je echt kunnen aantonen dat je er niets aan had kunnen doen; kun je dat niet aantonen, dan wordt je verantwoordelijk gesteld.

Maar dan zegt kansrekening dat de directeur van ieder groot bedrijf per definitie schuldig is aan een misdrijf. Want op 250.000 werknemers is er altijd wel 1 medewerker die omkoopt / fraude pleegt / milieuregels aan zijn laars lapt / prijsafspraken maakt met concurrenten / zijn appelklokhuis bij het restafval gooit....

De samenleving roept al sinds mensenheugenis om zwaardere starffen en grotere pakkans.

De praktijk met de door jou voorgestelde maatregelen is echter dat de vriendjes van de rechterlijke/politieke macht niet onderzocht gaan worden, terwijl alle concurrenten aan het kruis genageld gaan worden. Daardoor bijven alleen de meest foute bedrijven en de meest foute politici over (waarschijnlijk 1 en dezelfde persoon).... beetje Russische praktijken...

Wat voor organisaties verwacht jij op deze lijst? Zou voor hackers, maar ook voor staatsvijanden alleen maar aantrekkelijk te zijn om juist deze bedrijven aan te vallen. Ik mag dus hopen dat daar gaan Nederlandse overheden, Nederlandse banken, Nederlandse zorginstanties op staan. Het zou maar gebeuren dat straks een grote Nederlandse bank door ransomware wordt getroffen en betalingsverkeer niet meer kan plaatsvinden. En dat blijft dat de hacker's groep eigenlijk is ingehuurd door Russische overheid.....

Als die hackersgroep was ingehuurd door de Russische overheid met het doel ons betalingsverkeer te ontwrichten, dan doet losgeld überhaupt niet ter zake.

Lees het boek eens: "het is oorlog en niemand die het ziet". Het is niet zo dat dit soort labels aan deze groepen hangen, maar indirect wel geld ontvangen. Losgeld is niet enige drijfveer om te hacken.

Het is wel een belangrijke, relatief nieuwe ontwikkeling.

Ook Noord-Korea doet aardig mee in de hackers wereld, zeker als het om het vragen van losgeld gaat. Dat is zelfs een belangrijke bron van inkomsten van dat land.
China is ook een grote hacker, maar daar gaat het meer om spionage. In Rusland is de scheiding tussen hackers-groepen en de overheid heel vaag. Er zijn daar hackers-groepen die inderdaad een stevige link met de overheid lijken te hebben, maar er opereren ook groepen totaal los van de overheid.
De hackers-groepen zonder binding met een overheid zijn eigenlijk overal wel te vinden.

Ik bewonder je positiviteit maar ik ben bang dat het een wat naief beeld is.

Het zal allicht wat helpen. Waarom zou je een organisatie van die lijst hacken, als je weet dat je elders veel meer kans hebt losgeld te ontvangen?

Maar inderdaad denk ik dat er ook een wettelijk verbod op losgeld betalen moet komen, in combinatie met strafbaarheid van directeuren die zich niet aan de wet houden.

De ransomware providers zijn terroristen. Indien bekend moeten ze op de terroristenlijst worden gezet.
Daarnaast moet de EU m.i. actief dit soort criminelen gaan: bij grote hacks of x aantal kleine hacks, dan wordt je persoonlijk in land van herkomst opgehaald voor een Europese vakantie als je geen Europeaan bent. Het ophalen mag gebeuren met "extreme prejudice!"

Ditzelfde geld ook voor "Microsoft scammers" en ander gespuis wat mensen op afstand naar de financiële vernieling helpt. Bv. voor India/Nigeria bewijs verzamelen, veroordelen of daar laten veroordelen. Als het land niet meewerkt, dan sancties vanuit EU tegen deze landen inzetten.

Daarnaast zou het zou moeten zijn dat landelijk en Europees een manier zou moeten zijn om per direct rekeningen te bevriezen of op hold (voor bv 1 -2 dagen) te zetten wanneer er aangifte wordt gedaan.
Valse aangifte is sowieso strafbaar, dus dat is enigszins een waarborg en rekeningen kunnen een met cijfer worden gecategoriseerd van 1 to 10 op basis van (bekend) bedrijf, particulier, aantal klachten, land van herkomst ten aanzien van overmaker etc..
Onder de 7 krijg je een waarschuwing bij het overmaken en onder de 6 kan je niet eens overmaken zonder contact op te nemen met je bank.

Het bevriezen van rekeningen zal niet heel veel helpen. In de meeste gevallen moeten de losgelden in Bitcoins worden betaald. Grote bedrijven hebben vaak meerdere rekeningen, zodat het losgeld bij elkaar geschraapt kan worden zonder dat dat in de gaten loopt. Grote bedragen vallen ook niet echt op, want die worden met enige regelmaat overgemaakt.

Zit de oorzaak niet veel dieper? Er is een algemeen probleem denk ik.
Te weinig aandacht voor veiligheid.
Software moet te snel en voor te weinig geld gemaakt worden.
De controle daar op is "te duur" en er is gebrek aan kennis bij diegenen die dat moeten doen.
Alles moet zo goedkoop mogelijk, dat is vragen om problemen.
Bijkomend worden er backdoors ingebouwd door / voor instanties die graag controleren.
Backdoors die anderen ook kunnen vinden.

En de menselijke factor.
Daar gaat ook een en ander mis.
Geen of weinig opleiding voor de gebruikers, geen begeleiding, goedkoop personeel.
En de vergissingen of fouten. Die zijn niet te voorkomen.
Maar je kan het wel lastiger maken om die te maken.

Zorg is een verdienmodel geworden. Alles zo goedkoop mogelijk.
Om er zo veel mogelijk aan te verdienen.
De werkvloer moet het dan ontgelden.
En nu ook de patienten.

Ik voorzie nog heel veel problemen.
We hebben het nog niet eens over energiebedrijven.
Je kan wachten op de eerste stad die wordt afgekoppeld door een ransomware aanval.
Dan zijn de rapen echt gaar.

Toch heel erg triest, dat criminelen in zo'n ernstige mate leven, gezondheid en welzijn van mensen op het spel zetten. Hebben ze dan geen greintje geweten?

Doordat ze nu op deze schaal systemen platleggen, zou het wellicht mogelijk kunnen zijn om de daders te vervolgen voor terrorisme.
Je valt in feite alle burgers in een land aan. Als dat niet onder terrorisme valt weet ik het ook niet meer.

Nee. Terrorisme heeft als doel de bevolking angst aan te jagen. Dat is niet het doel van iemand die een ransomware aanval uitvoert, Die wil geld zien, niet mensen angst aanjagen.

Dat de pakkans omhoog moet voor dit soort types, absoluut mee eens. Maar met terrorisme heeft het echt niks te maken.

Terrorisme in het strafrecht is uitgebreider:

Onder terroristisch oogmerk wordt verstaan het oogmerk om de bevolking of een deel der bevolking van een land ernstige vrees aan te jagen, dan wel een overheid of internationale organisatie wederrechtelijk te dwingen iets te doen, niet te doen of te dulden, dan wel de fundamentele politieke, constitutionele, economische of sociale structuren van een land of een internationale organisatie ernstig te ontwrichten of te vernietigen

IANL maar ik kan me voorstellen dat het in dit geval wel onder terrorisme valt.

Fijne verduidelijking, maar de Nederlandse wet zegt natuurlijk bijzonder weinig of de definitie van Ierland.

edit; @Sharky11 kan een stuk beter zoeken als ik, thanks =)

[Reactie gewijzigd door jaenster op 15 mei 2021 19:07]

Het lijkt wel aardig overeen te komen

“terrorist activity” means an act that is committed in or outside the State and that— (a) if committed in the State, would constitute an offence specified in Part 1 of Schedule 2 , and (b) is committed with the intention of— (i) seriously intimidating a population, (ii) unduly compelling a government or an international organisation to perform or abstain from performing an act, or (iii) seriously destabilising or destroying the fundamental political, constitutional, economic or social structures of a state or an international organisation;

Voor de aanklacht van terrorisme echter moet je vaak bewijzen dat niet alleen de aanval met opzet is maar ook dat er politieke/religieuze overtuigingen meespelen om angst aan te jagen.

Hier lijkt het doel niet te zijn om angst aan te jagen en het vertrouwen in de overheid te ondermijnen maar gewoon zo veel mogelijk geld binnen te halen. Een potentieel neveneffect is weliswaar mogelijk dat er angst aangejaagd wordt/dat het vertrouwen in de overheid wordt ondermijnd maar het is waarschijnlijk niet het primaire doel.

Je kan wellicht verzwarende omstandigheden bij de aanklacht aanvoeren voor een zwaardere celstraf, maar terrorisme - nee niet echt.

Denk niet dat dat momenteel haalbaar is. Voor terrorisme moet er een bepaalde ideologie zijn, en moet het doel zijn om angst in te boezemen.

Dat zal hier niet zo snel gebeuren, het is puur financieel gewin.

Lijkt me vrij simpel. Het platleggen van de zorg is een directe aanval op burgers want die kunnen in dit geval niet/in mindere maten worden geholpen in het geval dat ze (levensreddende) zorg nodig hebben. Lijkt me niet lastig om te redeneren dat er dus wel degelijk als doel is om angst in te boezemen want als er geen angst is dan betaalt ook niemand.

Ja maar zo werkt dat niet. Je kan alleen iemand iets ten laste leggen als gedefinieerd is wat daar onder valt. Dit valt niet onder de definitie van terreur. Het voldoet simpelweg niet aan de kenmerken.

En als je al kan aantonen dat het gaat om angst in te boezemen, moet er ook nog eens een bepaalde ideologie aan ten grondslag liggen. Dat ontbreekt sowieso.

[Reactie gewijzigd door FrankoNL op 15 mei 2021 15:35]

Door het soort doelwit dat ze kiezen impliceren ze een bepaalde antiwesterse ideologie. Of dat nou met opzet is of niet. Wanneer was de laatste keer dat jij hoorde dat er een ransomware aanval was op een ziekenhuis in Malawi of Burkina Faso?

Dit soort aanvallen zijn in de regel gericht tegen rijke, veelal westerse landen. Landen die het geld hebben om het eventuele losgeld te betalen.

Gaat het om angst aanjagen? Dat sowieso. Want als niemand bang is voor de gevolgen van het verlies van data of toegang tot systemen, dan valt er geen losgeld te verdienen.

Dit is wat mij betreft zeker een daad van terreur. Ik ben normaal geen voorstander van de manier waarop de CIA en anderen mensen extraheren uit hun thuisland, meestal een thuisland dat geen uitleveringsverdragen kent, om ze vervolgens in het westen te vervolgen. Maar ik denk dat we hier tegen geen wezenlijk andere oplossing hebben.

Voor jou kan dat best zo zijn, maar dat is niet zo relevant.

De beweegreden is financieel gewin en het doel is om rijke bedrijven te chanteren. Nogal wiedes dat ze dan alleen rijke landen kiezen.

Met een ideologie of religieuze invalshoek heeft het dus geen enkele link en angst aanjagen is, hoewel misschien een bijkomstigheid, ook niet het doel.

Dus is het per definitie geen terreur. Kan er ook niks anders van maken .

Als je afgaat op wat Sharky11 een stukje naar boven aanhaalde dan zou het weldegelijk binnen de Ierse definities van terrorisme kunnen vallen.

"seriously intimidating the population" ik vind van wel, immers als er geen gerede angst was tot het verlies van data of toegang tot systemen zou er geen losgeld te krijgen zijn. Er is dus weldegelijk sprake van angst aanjagen, anders was er geen drukmiddel. Er is angst om data te verliezen, data die voor mensen letterlijk van levensbelang kan zijn. Dat is een daad van intimidatie naar iedereen van wie er data gegijzeld is.

"unduly forcing the government to perform an act" in een genationaliseerd zorgsysteem zoals dat in Ierland maar ook hier in NL, is er in mijn optiek ook sprake van proberen de overheid te dwingen om iets te doen op niet legitieme wijze. In dit geval om de overheid er toe te bewegen om losgeld te betalen. Het gaat om publieke gelden.

Het verschilt uiteraard per land hoe het precies wettelijk geregeld is. Wat ik zo begrijp van de Ierse definitie van terrorisme, zou dit daar best onder kunnen vallen. Maar goed IANAL.

En in mijn optiek kan zelfverrijking ook een ideologie zijn. Waarom niet? Er kan goed een groep achter zitten die meent dat dat losgeld hen toekomt om welke reden dan ook. Een ideologie hoeft wat mij betreft niet per definitie politiek of religieus gemotiveerd te zijn.

Maar het is geen angst aanjagen. Want cyber hackers leggen ook andere instanties plat. Is puur geld ongeacht waar ze het doen.

Als er geen angst te zaaien viel voor het verlies van data of toegang tot systemen en de gevolgen daarvan, dan zou er geen losgeld te halen zijn. Het stil vallen van een belangrijke oliepijplijn kan een behoorlijk ontwrichtende werking op een samenleving hebben. Het verlies van medische gegevens kan voor mensen letterlijk de dood betekenen.
Als er geen gevolgen van dergelijke aard zouden zijn, dan was er geen drukmiddel om het losgeld betaald te krijgen.

Een bedrijf dat in een positie is om zonder enige consequentie te zeggen "installeer alles maar opnieuw, zet de backup van gisteren maar terug, dat kost ons een paar uur, maar verder is er niets verloren" heeft geen enkele reden om het losgeld te betalen. Maar ze hebben mogelijk wel data over hoe de aanval is gedaan en waar mogelijk zullen ze die delen met ontwikkelaars om zo dat probleem permanent uit te bannen.

Zonder angst geen losgeld. Dat kan je niet loskoppelen van elkaar.

Er is geen angst.

Alleen dat een bedrijf stil staat dat is er. En dat wilt een bedrijf niet en wilt dus alles er aan doen om weer door te gaan. Als een bedrijf niet meer wilt opereren nadat een ransomeware op hun systemen is getroffen zullen ze ook niet betalen. Vandaar dat hackers dus aanvallen ze weten uiteindelijk kan het alleen vallen of na betaling weer opereren.

Angst zaaien doe je op andere Manieren.

Voorbeeld: mocht de politie getroffen worden. Hebben ze dan ook angst. Of is het meer ze moeten zo snel mogelijk alles opererend krijgen? Ik denk het tweede

[Reactie gewijzigd door theduke1989 op 15 mei 2021 21:18]

Nee. Bij dit soort zaken spelen ethiek en moraal geen rol. Helaas.

De daders die dit soort dingen zijn eigenlijk altijd uit op financieel gewin. En dan is dit voor hen juist de juiste tijd om dit soort aanvallen te doen. Immers, men wil de gezondheidszorg z.s.m. weer op gang brengen, en zal dus (normaliter) eerder geneigd zijn te betalen.

En dat is dus ook een probleem, want bedrijven/instanties die losgeld betalen, houden ransomware wel in leven en zorgen ervoor dat het een vrij lucratief verdienmodel is. Als je met relatief weinig moeite tonnen of zelfs miljoenen euros binnen kan halen, en dat elke week met een nieuwe aanval, is dat voor sommigen helaas erg aantrekkelijk en winstgevend.

[Reactie gewijzigd door wildhagen op 15 mei 2021 14:33]

Gelukkig nemen overheden i.t.t. bedrijven de stelling in, dat ze nooit betalen.

Klopt, gelukkig wel. Maar ook semi-overheid, zoals onderwijsinstellingen, betaalt helaas vaak wel: nieuws: Universiteitsblad: Universiteit Maastricht betaalde losgeld na ransom...

Het is dus zeker niet zo dat alleen commerciele bedrijven betalen.

En al zou maar één op de 10 door ransomware getroffen bedrijven betalen, is het nog steeds een lucratief verdienmodel. Het kost immers relatief weinig moeite, en als je op die manier tonnen of zelfs miljoenen kan binnen halen...

Het zou mooi zijn als overheden pontificaal achter bedrijven gaan staan om de kosten van het weer up en running krijgen van de boel te dragen; daarmee beschermen ze feitelijk zichzelf; ransomware loont dan niet meer de moeite.

Enige wat dan een uitdaging wordt is borgen dat bedrijven wel hun verantwoording nemen voor cybersecurity.

[Reactie gewijzigd door kakanox op 15 mei 2021 15:17]

Enige wat dan een uitdaging wordt is borgen dat bedrijven wel hun verantwoording nemen voor cybersecurity.

Waarom zou een bedrijf nog geld uitgeven aan digitale veiligheid als ze weten dat de overheid toch wel betaalt om de boel weer UP te krijgen, als ze worden getroffen door ransomware?

Dat is dan zonde van het uitgegeven geld, want dat losgeld krijgen ze dan toch wel weer terug van de overheid.

Dit lijkt me dus echt geen goed plan. Kost een hoop belastinggeld, en het komt de veiligheid bepaald niet ten goede. Bedrijven worden er alleen maar lakser van.

[Reactie gewijzigd door wildhagen op 15 mei 2021 15:16]

Jullie noemen beide een risico dat ik direct al beschreef (buiten dat Wildhagen het nog heeft over betaald losgeld terugbetalen, terwijl dat juist NIET het punt is).

Jammer, want zo komen we niet verder.

Enige wat dan een uitdaging wordt is borgen dat bedrijven wel hun verantwoording nemen voor cybersecurity.

En natuurlijk is er het e.e.a. mogelijk om dat te borgen.

Een paar dwarsstraatjes:
- Verplichte certificering cybersecurity voor die overheidsteun
- Betalen van losgeld aan criminelen strafbaar stellen, met hoofdelijke aansprakelijkheid voor de bestuurders

Een paar dwarsstraatjes:
- Verplichte certificering cybersecurity voor die overheidsteun

Ja, nog meer papierwerk. Bedrijven komen daar vaak nú al in om.

Daarnaast, certificering zegt op zichzelf niks, want het is een momentopname. Leuk dat je aangeeft in je procedures dat je iets doet, maar als je het ook maar één keer vergeet (en we zijn allemaal menselijk) ben je al kwetsbaar.

En tegen gebruik van zero-days, waar hier sprake van lijkt te zijn, helpt het nog minder. Leuk dat je certificering iets zegt over bijvoorbeeld patch-management, maar als het om een nog niet bekende (en dus niet gepatchede) zero-day gaat heb je daar weinig aan vrees ik.

- Betalen van losgeld aan criminelen strafbaar stellen, met hoofdelijke aansprakelijkheid voor de bestuurders

Daar zie ik dan weer wat meer in. Het zou bedrijven kunnen triggeren hun security en vooral hun backupstrategie serieuzer te nemen.

Backup helpt je helemaal niks in veel situaties. Daarvoor blijven de hackers te lang in het netwerk hangen. Fijn als je nog een werkende backup van een jaar terug kunt zetten, maar dan ben je nog steeds heel veel data kwijt. En laat dat nou net de meest relevante data zijn bij veel bedrijven.

Er is toch echt iets meer nodig om dit probleem aan te pakken. Het MKB kan dit niet meer alleen. Opsporing moet beter. Beveiliging bij bedrijven moet beter. En softwarebouwers moeten worden aangesproken op het gebrek aan security.

Ik zie dit vaker geroepen worden, maar zolang de backup je data bevat die op dat moment nog niet encrypted is heb je toch geen issues?

Ja niet handig om de hele vm in 1 keer terug te zetten maar het gaat toch om de data? Dus servers gewoon opnieuw opbouwen en vullen vanaf tape en klaar.

Ja leuk, maar lastig uitvoerbaar als je over serieuze netwerken praat waar je niet weet wat besmet is of waar de bron vandaan komt of welke sluimerende backdoor ze nog meer hebben gemaakt.

In mijn geval praten we over een kleine 7000 vm's die wereldwijd in de 5 datacenters draaien, daarnaast (naar schattig) een zelfde hoeveelheid in de diverse locaties, en een kwart tot de helft van dat aantal in de cloud, en nog eens een 60.000 end points.

Dat allemaal handmatig herstellen is een monsterklus met alle additionele configuratie problemen van dien. en dan ben je bijna klaar en dan blijken ze een 7de backdoor gemaakt te hebben en kun je opnieuw beginnen.

hoezo? Alles whipen en alleen data restoren en er is geen backdoor meer over, of ze moeten in je netwerkequipment zitten, maar die is niet heel veel voorkomend.

En met zoveel servers ga ik er toch vanuit dat je een auto deploy software hebt die je weer kan gebruiken?

Werkplekken zijn als het goed is gewoon weer redelijk rap te imagen.

Enige manier om zeker te weten dat ze eruit zijn.

Precies. En dat zijn dus de backups van pak-em-beet een half jaar of ouder. De rest is dus keurig encrypted en onbruikbaar.

Kijk maar eens bij je eigen bestanden welke je nog actief gebruikt. In verreweg de meeste gevallen zijn dat de nieuwste bestanden.

Komt bij dat ik persoonlijk nog geen tool heb kunnen vinden die in staat is om te checken of een file nog leesbaar is. Dus op een beetje serieus netwerk met >10 miljoen files wens ik je veel succes om dit te gaan controleren.

Daar hebben we audit software voor, gebruiker wijzigt meer dan 50 files in korte tijd of wijkt af van zijn normale routine, meteen mailtje naar de beheerders en de servicedesk.

Ja dit kan irritant zijn als mensen hun rommel opruimen, maar beter een paar false positives als je files encrypted.

En sowieso zijn de tapes gewoon van gisteren, evenals de offsite online backups en de blackbox die daar weer achter staat.

[Reactie gewijzigd door themadone op 18 mei 2021 11:43]

Er zijn natuurlijk verschillende manier om binnen te komen, maar vaak gaat het toch via een mail en een gebruiker die daar op iets klikt,
Vervolgens wordt er wat code binnen gehaald en die vervolgens vanaf disk uitgevoerd.
Deze zaken zijn al makkelijk aan te pakken, opvoeding gebruikers en zorgen dat ze geen bestanden mogen uitvoeren, die niet geautoriseerd zijn.

Dat is dan zonde van het uitgegeven geld, want dat losgeld krijgen ze dan toch wel weer terug van de overheid.

Het voorstel is niet om het losgeld door de overheid te laten betalen, maar om juist te betalen voor andere oplossingen. Dat kost meer, maar verpest wel het zakelijke model achter deze aanvallen.

Waarom zou een bedrijf nog geld uitgeven aan digitale veiligheid als ze weten dat de overheid toch wel betaalt om de boel weer UP te krijgen, als ze worden getroffen door ransomware?

Ik denk dat we "voorkomen" en "genezen" even los moeten koppelen.
Voorkomen is beter dan genezen, maar je kunt nooit 100% alles voorkomen.

We weten dat de huidige situatie niet werkt en dat bedrijven gewoon betalen en dat is fundamenteel onoplosbaar.

Iedere goede afperser of gijzelaar weet dat je om een bedrag moet vragen dat klein genoeg is dat het voor de slachtoffers duidelijk is dat betalen veruit de makkelijkste en goedkoopste oplossing is. Zakelijk gezien is het dus niet meer dan logisch om te betalen. Dat gaan we nooit kunnen veranderen. Het maakt daarvoor niet uit of het slachtoffer goed was beveiligd of niet. Zelfs bij de beste beveiliging kan zo iets gebeuren en altijd zal betalen de goedkoopste en snelste oplossing zijn. Als het dat niet is verlagen ze de prijs wel.

Wat we doen als het gebeurt kan en moet dus helemaal los staan van de vraag hoe we voorkomen dat het zo ver komt. We zullen ook een hoop moeite moeten doen om te voorkomen dat het mis gaat en het liefst gaat zoveel mogelijk van onze moeite, tijd en geld daar naar toe, maar foutloos zal het nooit worden.

[Reactie gewijzigd door CAPSLOCK2000 op 15 mei 2021 15:38]

Denk je niet dat je wat uit te leggen hebt aan de overheid? Is een beetje hetzelfde dat Nederlandse banken grote risico's mogen nemen, omdat wanneer ze in geldproblemen raken de overheid wel bijspringt. Bijspringen betekent niet dat het verhaal klaar is, en dat er geen strafrechtelijke vervolging meer kan plaatsvinden.

Uhmmm... dit was een zeroday...

Welke dan? Of gaan er nu straks weer bakken bedrijven omver? Volgens mij gewoon ongepatcht en een oude zero day. Exchange anyone?

Oude 0D, dat bestaat niet.

Dat is het grote probleem - een boel bedrijven zullen dan hebben van 'De overheid gegarandeerd toch wel, we hoeven niet onze maximale best te doen maar alleen het minimum wat voor garantie zorgt'.

Dat helpt niet tenzij je als overheid de eis stelt dat je het maximale gedaan hebt wat praktisch mogelijk is om de inbraken te voorkomen. Anders zal je als overheid je blauw gaan betalen.

Ze kunnen beginnen met het in de wet verbieden ransomeware te betalen. En dit dus ook echt strafbaar maken.

Als bijvoorbeeld heel europa dit strafbaar maakt met gevangenis straf als gevolg. Dan is europa sowieso niet meer interessant om aan te vallen.

Je bedoelt dat de belasting betaler moet opdraaien voor het falen/nalaten van een commercieel bedrijf om het beveiliging op orde te hebben? Lijkt me een goed plan. Kunnen alle bedrijven mooi besparen op IT want de overheid betaalt toch wel als het fout gaat.

Een betere oplossing zou zijn om betalen van losgeld strafbaar te maken. Misschien is dat een betere trigger om bedrijven zo ver te krijgen hun beveiliging en backups wel fatsoenlijk te regelen.

Als je even iets verder gelezen had...

...de belastingbetaler gaat overigens tóch wel betalen. Mijn geboortedatum en BSN worden as we speak verkocht op het darkweb. Denk je dat dat niets gaat kosten?

Of nog beter militaire actie tegen degenen die het faciliteren en uitvoeren. Dit begint voortaan gevaarlijker en invloedrijker te worden dan de somalische piraten. En die werden ook met regelmaat naar het hiernamaals geholpen.

Niet eens zo heel gek denk ik, maar dat zou mogelijk wel een focus op wegwerken van traceerbaarheid of zelfs een wapenwedloop tot gevolg kunnen hebben.

Of nog beter militaire actie tegen degenen die het faciliteren en uitvoeren.

Aangezien veel van dit soort clubs in Rusland of China zitten, waar ze hun gang mogen gaan zolang het eigen land er maar geen last van heeft, lijkt dat niet zo'n goed idee.

Juist wel.
Geen openlijke militaire actie uiteraard maar eentje die voor ons onzichtbaar gebeurt.
Dit soort criminaliteit is niet langer onschuldig omdat de staatsveiligheid in het geding komt plus zoals hier ook, de volksgezondheid.
Dit vergt een gecoördineerde aanpak van overheidsdiensten die grensoverschrijdend zal zijn.

Of zoals veel bedrijven verkondigen dat ze nooit gaan betalen, maar het toch doen... Zou me niet verbazen als volgende week de decrypt tool verschijnt

Zoals de pijpleiding. Daar zijn ook berichten dat er toch betaald is, ook al beweerde ze van niet.

Zeg nooit nooit zou ik zeggen. Hangt er van af hoe groot de gevolgen zijn en hoe snel men kan herstellen, bijvoorbeeld vanaf backups.

De stelling ja, of het ook gebeurd... Het wordt ook vaak gezegd met ontvoeringen e.d. Maar dan sijpelen er later toch weer wat berichten dat er toch (gedeeltelijk) losgeld betaald is.

Ik verwacht niet dat ze niets meer verdienen als er niet meer betaalt wordt. Ik verwacht dat ze bepaalde gegevens evengoed wel kunnen verkopen aan concurrentie bijvoorbeeld. Of misschien hebben Google en Facebook ook wel interesse in gezondheid informatie die ze dan stiekem kunnen koppelen aan een account. Of verzekeringen om te kunnen proberen fraude te vinden of kosten te besparen als medicijn a voorgeschreven staat bij de dokter maar medicijn b kan hetzelfde alleen goedkoper.

Nee. Bij dit soort zaken spelen ethiek en moraal geen rol. Helaas.

De daders die dit soort dingen zijn eigenlijk altijd uit op financieel gewin.(...)

Kleine kanttekening: ethiek en moraal zijn twee neutrale begrippen. De grootste criminelen hebben ook waarden en normen, alleen zijn deze meestal anders dan die van de meeste mensen. De criminelen weten ook wat goed en slecht is, ze stellen alleen hun eigen (geld)gewin daar bovenop.

Het is dus niet omdat iemand iets enorm fysiek of emotioneel schadelijks doet, dat die persoon of zijn daad niets te maken kan hebben met met ethiek of moraal.

Genoeg voorbeelden van bedrijven die hetzelfde doen. De voedingsindustrie bijv. sigarettenindustrie etc. Alleen dat is allemaal legaal.

Verder is dit al voorspeld met de komst van EPD's. En als alles dan ook nog op internet is aangesloten en waarschijnlijk ook nog slecht beveiligd is het een kwestie van tijd.

Het is inderdaad enorm driest maar ook 'criminelen' moeten eten. En ik denk dat instellingen zoals de deze en academici gewoon hele gemakkelijke doelen zijn.

Als de controlePC van je MRI scanner Teamviewer of een andere remote execution tool "vereist" wegens 'mogelijkheid tot snelle en goedkope support' en je daar als IT'er zoveel mag lopen roepen over veiligheid als je maar wilt maar dat dat altijd op dove oren valt. Dan kan je wel raden hoe erg het kan zijn.

Moet ook echt balen zijn zo op vrijdagochtend een ransomware attack. Ik heb het zelf ook 2 keer mogen meemaken in de KUL universiteit anno 2015 (Teslacrypt en CTB locker).

Als ze een geweten hadden gehad waren ze waarschijnlijk geen crimineel geworden.

Weinig mensen zijn vanbinnen 100% evil, de reden dat dit veel gebeurd is omdat het op afstand gebeurd en deze personen de impact niet zien van hun acties. Als ze zouden zién (alsof ze er langs staan) hoe mensen afzien en pijn hebben door zaken die niet kunnen doorgaan, zouden velen afhaken.

Nu zien ze enkel een krantenkop met een financieel getal op dat misschien hun richting uitkomt. “Ze hebben toch geld genoeg, ze verdienen het,…” maakt het snel gerelativeerd op afstand.

Ik geloof er geen barst van. Ook die mensen op afstand weten precies wat een ziekenhuis is en wat daar gebeurt. Ze achten hun kans op winst wat groter in juist omdat het een ziekenhuis is.

Dit zijn geen naïeve mensen. Het zijn keiharde criminelen.

Emotionele disconnectie was mijn punt op vlak van psychologie, maar ik snap dat je ff kortzichtig boos wilt zijn op hun 🤷‍♂️.

Wat dacht je van een cursus Nederlands voordat je over psychologie begint?

Precies, daarom mogen ze van mij levenslang in de gevangenis blijven rotten als ze gepakt worden.

Nee. Behalve voor zichzelf.

Dat geld kan beter gestoken worden in de verbetering van de systemen bijvoorbeeld.
Nou hoop ik wel voor ze dat ze ergens backups hebben en dat de privacy van de patiënten niet geschonden gaat worden.

Er staat dat er gebruik is gemaakt van een zero day exploit dit kun je dus minder makkelijk voorkomen met een verbetering van je systeem. Wel zijn backups natuurlijk een oplossing.

Alles in 1 monoliet, dat had ik niet verwacht eerlijk gezegd. Een monoliet scheelt het bouwen van koppelingen, maar het maakt je ook wel weer erg kwetsbaar. Een meer gedistribueerd landschap heeft ook zo zijn uitdagingen, koppelingen bouwen en onderhouden is een forse uitdaging. Maar meer diversiteit geeft ook weerbaarheid, onder andere tegen dit soort situaties.

Net als in de natuur, die houd ook van diversiteit om te overleven.

Ierland heeft krap 5 miljoen inwoners, dan is een monoliet systeem meer dan genoeg. Zolang je je backup en uitwijk op orde hebt.

Als je zo’n klein engelstalig land bent, moet je kiezen waarin je wil investeren en innoveren. De administratie van de zorg lijkt me niet de logische keuze. Dat kunnen ze bij wijze van spreke af met een standaard systeem dat ook verkocht wordt aan ziekenhuizen.

1) Hoe wisten de aanvallers tot het centrale verspreidingspunt door te dringen/hoe wisten ze welk IP ze daarvoor aan moesten vallen?

2) Is er compleet geen (offline) backup?

3) Je zou toch zeggen dat voor zoń cruciaal systeem je de maximale beveiliging hanteert welke ook rekening houdt met 0-day aanvallen?

Offtopic: vanwege dit soort dingen hoop ik dat het nooit verplicht wordt in Nederland om aan het EPD deel te nemen.

Edit: EPD, niet ECD

[Reactie gewijzigd door MicBenSte op 15 mei 2021 14:37]

Het kan ook zijn dat een deel van de systemen preventief offline is gezet totdat bekend is hoe ver ze nu precies doorgedrongen zijn in de systemen. Backups terugzetten heeft ook geen zin als alle systemen nog aan elkaar gekoppeld zijn en het lek nog niet bekend/opgelost is.

Fair punt, dat kan inderdaad de keuze zijn die in overleg met de ministeries gemaakt is.

Ik denk dat er wel iets van een backup of restore-plan is, anders zouden ze niet zo hard zeggen dat ze niet gaan betalen.

Ja, of ze betalen gewoon en roepen heel hard dat ze het niet doen. Dat is altijd de makke met 'nieuws'berichten. Je weet niks.

Offtopic: vanwege dit soort dingen hoop ik dat het nooit verplicht wordt in Nederland om aan het EPD deel te nemen.

Dat doe je al volgens mij.
Daar wordt alles in gezet waarvoor je bij de huisarts komt, justituële zaken, medicatie die je gebruikt, bewindvoering en hulpverlening etc.
Daarin kunnen ze allemaal terugvinden hoe en wat als het nodig is.

Of ik heb het verkeerd begrepen, excuses dan .

[Reactie gewijzigd door geronimos23 op 15 mei 2021 15:09]

Je haalt een boel door elkaar (patientendossier, GBA, Belastingdienst en andere dossiers).

EPD betekend voor mij Electronisch Patiënten Dossier.
Ik denk dat ik het dan mis heb.
Bij mijn weten is dit terug te vinden in het epd.
Ik heb een tijdje in een kliniek gezeten van de ggz waarbij ik dit vernomen heb.

Mijn fout dan, Excuus .

Jij hebt het over het dossier van de GGZ-instelling. Dat is echter wat anders dan het globale EPD. Wat een GGZ-instelling schrijft kan en mag niet 1:1 overgenomen worden in een EPD omdat het ook een boel niet-relevante informatie is voor reguliere zorgverleners.

Dat is dus nieuw.
Dossier-GGZ.
Weer wat geleerd, hartelijk dank .

Nederland = regelland en met al die regels overal dossiers. Die dossiers hebben weer regels en zo verder. Voor je informatie; er is geen dossier waarin alles samenkomt, zeker niet het EPD. Goede vraag overigens.

On-topic: die Ierse premier heeft ballen door te zeggen we betalen niet. Geloof maar dat er een heksenjacht gaat ontstaan op de groep die dit heeft gedaan vanuit de Ierse inlichtingendienst. Tegelijkertijd dient dit dus echt een waarschuwing te zijn voor iedereen over hoe kwetsbaar ze zijn. Nu gaat het om ransomware, maar laat daar nu eens echt een virus in los en de gehele gezondheidszorg van een land is de klos.
Voor mij is een aanval op de gezondheidszorg ipv een bedrijf/universiteit wel een wake-up call.

[Reactie gewijzigd door South_Styler op 15 mei 2021 21:17]

Dat komt ook door ons ongelofelijke kwaliteitsbesef als IT-ers. De spullen die we maken werken maar nauwelijks, we weten niet precies waarom ze werken (we weten het ongeveer, maar niet helemaal).
En het is veel te makkelijk om ballast ergens in mee te slepen. In een fysiek product als een automotor zal niet zo gauw de slijpmachine worden meegeleverd waarmee je nieuwe cylinders kan slijpen. Maar in de IT wordt zoiets er zomaar bijgeleverd, met een beetje geluk ook nog met een automatiek die de rest van de fabriek bij kan bestellen.

Het word tijd dat dit als terrorisme word gezien. Er is dan wel geen politieke motivatie, maar verder heeft het hetzelfde effect.

Terrorisme is als iets bedoeld is om de bevolking angst aan te jagen. Dat is bij ransomware echter niet het geval. Het doel is niet om mensen angst aan te jagen, maar om geld te verdienen met hun praktijken.

Verwerpelijk zijn dit soort acties zeer zeker, maar met terrorisme heeft het helemaal niets te maken.

"strafrecht - oogmerk om de bevolking of een deel van de bevolking van een land vrees aan te jagen, dan wel een overheid of internationale organisatie te dwingen iets te doen, niet te doen of te dulden, dan wel de fundamentele politieke, constitutionele, economische of sociale structuren van een land of een internationale organisatie ernstig te ontwrichten of te vernietigen."

Afgezien van de motivatie voldoet dit volledig.

Wat is het verschil tussen dit en een bom op een serverparkje van die zorg? Puur terrorisme. En zo moet het ook aangepakt worden.

En hoe wil je terrorisme dan gaan noemen? Ik zie ook niet wat dan hetzelfde effect zou moeten zijn, niemand die doodsangsten uitstaat vanwege een gehackte computer. Hooguit een CIO of CISO die vreest voor zijn carrière.

Waarom is een doodsangst vereist? De Colonial Pipeline platleggen, nu het complete Ierse zorgsysteem. Veel verontwrichtender kan het haast niet.

En die angst is er weldegelijk. Zorg die niet door kan gaan, logistiek die platlicht door een gebrek aan olie, data die mogelijk kwijt is in een tijd waar vrijwel alles op data gebaseerd is.

Zoals ik al zei, het is dat er geen politieke/ideologische motivatie achter zit, maar verder zijn deze praktijken vrijwel 1 op 1 te vergelijken met terrorisme. De FARC deed dit soort zooi ook voor geld.

Je zou het boek: "het is oorloog en niemand die het weet" eens moeten lezen. Dit soort acties worden helaas ook uitgevoerd door hackers groepen gelinkt aan een overheid, zoals Rusland. Enkel met het doel om verdeeldheid te creëeren of afleidkng.

Boekentips zijn altijd fijn, zet 'm op m'n lijstje. Bedankt!

Even gechecked maar dat is een interessant boek. Ga ik deze week halen bij mijn boekhandel.

Als straffen af zouden schrikken, dan zou er bijna niemand meer iets fout doen.

Nooit geweten

hoe gebeurd dit meestal?, dat een medewerker een bestand opent?, en zijn de virusscanners dan niet bereid om dit probleem aan te pakken?

Worden ransomware criminelen wel eens gepakt? Ik snap dat het moeilijk is om dit soort hackers te traceren (proxies, publieke internet hotspots, en dergelijke) maar het is denk ik niet altijd onmogelijk. Als een hacker een fout maakt, bijvoorbeeld. Of als ze bitcoins of iets dergelijks vragen waarbij de transacties door de blockchain worden bijgehouden en getraceerd.

Zeg niet dat het altijd kan, maar een poging kan nooit kwaad hierin.

Volgens mij vrijwel nooit. Bitcoin is nauwelijks te tracken omdat het niet van Wallet a naar b gaat en uitbetaald wordt. Dat wordt in stukjes gehakt en van Wallet naar Wallet geschoven.

Grotere kans dat ze een unlocker kunnen maken

Telkens als ik ransom verhalen lees, elke keer weer, dan denk ik: Hoe is het in godsnaam mogelijk dat je het laat gebeuren? Hoe kan het nou dat je zulke belangrijke systemen bereikbaar maakt? Wanneer word je nou es wakker? Pas als je niet meer in je eigen systeem kan komen? Hal-lo-how!! Word wakker!

Echt waar, je moet echt niet zeiken als je doelwit bent. Je hangt zelf je systemen aan het internet. Dat is zeg maar hetzelfde netwerk als waar de criminelen op je zitten te wachten. Ben je dan achterlijk, of ben je dan achterlijk?

Ik heb echt geen medelijden met de "getroffen" organisaties hoor. Ik las een stukje terug dat de afpersers de doodstraf moeten krijgen. Ik vind het precies andersom. Mensen die mijn gegevens op deze manier blootstellen aan criminelen, DIE moeten de doodstraf. Op hoeveel plekken zijn mijn gegevens al gestolen? DAT moet aangepakt worden. Ik vind dat het strafbaar moet zijn dat gegevens over mij via internet te bereiken zijn.

Of sla niks over mij op, of doe dat offline.