SP ijvert voor meldingsplicht voor slachtoffers van ransomware-aanvallen

De Socialistische Partij vindt dat er een meldingsplicht moet komen voor slachtoffers van ransomware-aanvallen. Met die plicht wil de partij de Nederlandse overheid beter in staat stellen om te leren hoe cybercriminelen werken.

SP-Kamerlid Renske Leijten maakte de opmerking tijdens een recent debat in de commissie voor Digitale Zaken. Daarin stelde ze de vraag aan demissionair minister van Justitie en Veiligheid Grapperhaus of het kabinet bereid is om een dergelijke meldingsplicht in te stellen omdat er nog steeds geen inzicht is in de schade die cybercriminelen berokkenen. "Schattingen lopen in de vele miljoenen en miljarden wereldwijd", klonk het.

Dat er niet precies bekend is hoeveel schade er wordt opgelopen, komt volgens de politica doordat de meldingsbereidheid 'zo laag' ligt. Daarom pleit ze voor een meldingsplicht om op die manier informatie over ransomware-aanvallen uit te wisselen en het verdienmodel van cybercriminelen in kaart te brengen, al voegde ze er ook aan toe dat dit in een vertrouwelijke omgeving moet kunnen gebeuren.

De politica maakte ook gewag van een verbod om losgeld te betalen. Ze voegde daaraan toe dat bedrijven dan wel voldoende ondersteuning moeten krijgen in hoe ze omgaan met criminelen. "Je moet weten dat je meteen hulp kunt krijgen met het misschien oplossen van zo’n aanval", aldus het SP-kamerlid.

Reacties (85)

[sampoo]

Pleiten voor een meldplicht én een verbod op het betalen van losgeld? Dat moet je niet willen, als de belangen te groot zijn wordt er toch betaald en dan is er alles aan gelegen om het als het even kan in de doofpot te stoppen en en het juist niet te melden.

Ik heb zelf ook weinig vertrouwen dat ondersteuning van de overheid bij de omgang met ransomeware-criminelen veel zal voorstellen. Of je nu snel hulp inschakelt bij een overheidsdienst die de bedrijfsvoering niet kent of niet maakt als het eenmaal zover is weinig uit.

[Reactie gewijzigd door sampoo op 23 juli 2024 18:56]

[ETH0.1]

Even een oproep aan een ieder die getroffen word door een ransomware aanval en er over denkt om te betalen. De aanvallers zijn er op gebrand om zo snel mogelijk en zo veel mogelijk data te encrypten, daar zijn hun tools voor gemaakt.

Het restoren van backup is vaak een langdurig proces wat bij grote bedrijven enkele dagen kan duren.

Vergeet vooral niet dat als je de decryptie sleutel/tool in handen hebt (als je die al krijgt en je niet wordt opgelicht door te betalen maar dat er niet geleverd word), dat die tool vaak niet gemaakt is om snel weer online te zijn, ook die tool heeft dagen zo niet langer nodig om alles weer te herstellen, soms zelfs zo lang dat een backup restoren sneller is.

[daredevil__2000]

Leuke theorie maar de praktijk is toch echt even wat anders. De aanvallers hebben vaak een onwijs goede en klantvriendelijke helpdesk. Menig bedrijf kan er nog een puntje aan zuigen. Na betalen krijg je dan ook volledige support vanuit de criminelen om weer zo snel mogelijk online te komen.

Wel betalen en niets krijgen is iets wat niet strookt met de realiteit. Het is de criminelen er alles aan gelegen om er voor te zorgen dat de slachtoffers weten dat als ze betalen dat ze dan weer alles terug krijgen. Immers als ze 1 keer wel het geld innen en vervolgens niet helpen dan weten toekomstige slachtoffers direct dat betalen geen zin heeft en zullen ze niet meer twijfelen over wel of niet betalen.

Daarbij krijgt het bedrijf door het betalen vaak ook de informatie in handen over hoe de criminelen binnen gekomen zijn en hoe ze zich in de toekomst beter kunnen beschermen. De criminelen hebben zo min of meer een pentest op jouw omgeving uitgevoerd. Een pentest is toch iets waar je normaalgesproken ook al dik voor moet betalen als bedrijf wanneer je zelf niet de mensen hebt zitten die dit kunnen.

En wat je steeds vaker ziet is dat het niet alleen maar meer om het versleutelen van de data gaat. Steeds vaker maken de criminelen ook de data buit en dreigen ze dat wanneer je niet over gaat tot betaling om je gegevens dan online te knallen. Zeker bij de tech bedrijven betekent dit dat een concurrent mogelijk de beschikking krijgt over jouw bedrijfsgeheimen.

De acties van Renske Leijten zijn dan ook echt iets van klok en klepel. Cyber security is een hot item op het moment dus even makkelijk wat zieltjes winnen voor de partij terwijl ze als je de tekst zo leest niet helemaal weet hoe het er in de praktijk aan toe gaat.

[tom.cx]

Als je nog bij je backup kan komen. want ook deze kan worden verwijderd of versleuteld worden. Met het laatste kom je dan toch snel uit op betalen. Anders kan het de ondergang van je bedrijf betekenen.

[ETH0.1]

Maak je backup infra geen onderdeel van je domain, volledig los, andere logins, ander vlan en zorg dat je firewalls op orde zijn, airgapped etc.

veel attackers gaan voor low hanging fruit, meer kun je niet doen

[Youckle]

airgapped een backup maken lijkt me ook weer zo'n uitdaging, toch?

[d3burt]

De boefjes richten zich vaak specifiek op beheerders, dus zelfs een goed opgezette backup is geen garantie, want zodra de boefjes met de beheerder kunnen meekijken is het game over.

Wat echt een bijdrage is aan de veiligheid, is om zoveel mogelijk zaken te scheiden. Het is vooral de monocultuur die zwakheden introduceert: alle rechten uitdelen via Active Directory en geen effectieve functiescheiding voor beheerders maken dat de boefjes klaar zijn als de de eerste beheerder hebben gephist of gehackt. Als de backup server niet benaderd kan worden via normale AD accounts verklein je het aanvalsoppervlak al enorm.

[grrfield]

Een backup is offline en offsite. In het andere geval doe je het niet goed.

[KSU4reqY]

Klinkt onlogisch. Dan krijgt die ransomware/bende binnen no time een reputatie dat betalen niet loont en dan houden mensen op te betalen. Neem aan dat antivirus bedrijven dat wel een beetje bij houden.

Beetje georganiseerde bende wilt juist een reputatie dat betalen de beste oplossing is.

[Reactie gewijzigd door KSU4reqY op 23 juli 2024 18:56]

[Anoniem: 421923]

precies. Het concept is dat je na betaling weer de beschikking krijgt over je data.
Weet iemand of aanvallers na enige tijd weer terugkomen omdat ze weten dat je (eventueel nog steeds) kwetsbaar bent en toch wel betaalt?

De truc is en blijft de betrouwbaarheid: je weet als bedrijf dat de aanvallers de encryptie weer opheffen na betaling.
En ze zullen natuurlijk altijd een afweging maken qua hoogte van de 'boete'.
Als ze teveel eisen weegt het misschien niet op. Dus fors lager gaan zitten en je krijgt je geld omdat het uit kan.

[ETH0.1]

Veel bedrijven hebben hun shit niet op orde en daardoor zijn de backups onbruikbaar, dan hebben ze maar 1 oplossing en dat is slikken, betalen en wachten

[ZinloosGeweldig]

Wat betreft bruikbaarheid van een backup heb je natuurlijk gelijk.

Wat betreft "Als je die al krijgt" over de decryptie tool, dat impliceert toch wel dat de verwachting is dat je die niet krijgt en hem wel krijgen de uitzondering zou zijn. Daarin klopt het argument van KSU4reqY wel, betalen moet lonen dus ransomware aanvallen waarin je de decryptie tool niet krijgt na betaling zijn, als ze al bestaan, de uitzondering.

[ETH0.1]

Ik kan me een aantal ziekenhuizen van een paar jaar geleden herinneren die wel betaald hebben maar geen decryptie geleverd hebben gekregen. Vaak zullen ze wel een tool leveren, maar garanties heb je niet

[cariolive23]

Heb je een link van artikel die dit beschrijft?

En garanties heb je nergens, behalve dat je na het terug zetten van een backup, alle data van ná die backup gegarandeerd kwijt bent. Tevens heb je de garantie dat een backup die óók is geïnfecteerd, binnen no-time weer hetzelfde probleem zal opleveren.

[ETH0.1]

https://www.techspot.com/...d-after-paying-up.227170/

vergeet niet dat er vaak geen ruimte is om te restoren, van sommige verzekeraars of als de aanval onderzocht word mag je de huidige data niet wissen. Heeft jou organisatie genoeg overcapaciteit om alle backups te restoren terwijl de huidige omgeving geïnfecteerd achter blijft?

[Anoniem: 421923]

een beetje ransomware aanvaller die echt geld van je wil hebben als groot bedrijf wacht met activeren van de encryptie als z'n klauwen al enige tijd in de backup zitten.
Dan kan je wel je backup terugzetten maar daar zit de ransomware dan al in.
Althans dat concept heb ik me laten vertellen.

Als je dat doet heb je sowieso je credits verspeeld bij de aanvaller en krijg je de key waarschijnlijk helemaal niet meer. Of je betaalt alsnog. In dat geval ben je zowel extra geld als extra tijd kwijt.

Voorkomen is beter dan genezen maar als het mis gaat betalen bedrijven soms liever de aanvaller om weer snel in de lucht te zijn. Zijn ze goedkoper uit.

[GertMenkel]

Het betaalverbod kun je simpel afdwingen door de boete voor betalen veel groter te maken dan het betaalde bedrag. Maak de boete tien keer het betaalde losgeld, dan is het niet rendabel om het geld naar criminelen over te maken. Eén anonieme tip van een boze werknemer en je bent nog eens een keer alles kwijt, dan is het goedkoper om gewoon je backups te herstellen.

Ondersteuning vanuit de overheid lijkt het probleem niet te zijn dat ze hier willen oplossen, dit lijkt puur een voorstel te zijn om te zorgen dat de cijfers kloppen. De overheid kan geen ondersteuning bieden als ze niet weet hoe groot het probleem is.

Dat gezegd hebbende is er een hele hoop informatie beschikbaar van het NCSC waar veel te weinig bedrijven naar kijken. De overheid gaat niet je handje vasthouden en je helpen met je rsnsomware, maar er is wel gewoon informatie beschikbaar. Die informatie gaat vooral over het voorkomen van infecties, omdat het oplossen toch alleen maar neerkomt op "backups herstellen of betalen".

De meldplicht hebben we nu ook door datalekken en daar lijkt het redelijk te werken. Mocht je zelf een bedrijf kennen dat zich hier niet aan houdt, dan mag je altijd een anonieme tip indienen.

[sampoo]

Het betaalverbod kun je simpel afdwingen door de boete voor betalen veel groter te maken dan het betaalde bedrag. Maak de boete tien keer het betaalde losgeld, dan is het niet rendabel om het geld naar criminelen over te maken. Eén anonieme tip van een boze werknemer en je bent nog eens een keer alles kwijt, dan is het goedkoper om gewoon je backups te herstellen.

Ook dan kan het rendabel zijn, de pakkans is immers ook dan niet 100% en
al zou de pakkans groot genoeg zijn wil ik nog zien of een rechter er in mee zou gaan als het onherroepelijk zou laten leiden tot een faillissement van een verder gezond bedrijf die zijn lesje heeft geleerd.

[Reactie gewijzigd door sampoo op 23 juli 2024 18:56]

[Platpoot]

Ho deze reactie was op een ander bericht.

[Reactie gewijzigd door Platpoot op 23 juli 2024 18:56]

[cariolive23]

Het betaalverbod kun je simpel afdwingen door de boete voor betalen veel groter te maken dan het betaalde bedrag.

Waarom wil je van een slachtoffer zo graag een dader maken?

Je kunt in Nederland zoveel coke wegsnuifen als je aan kunt, want dat is niet strafbaar, en geen mens die zich druk maakt over de miljarden business die daar achter zit. Of deze vele tienduizenden doden wereldwijd door de handel en productie van cocaine. Maar zodra een slachtoffer van chantage zich laat chanteren en over gaat tot betalen, dan is de wereld te klein en wil je hem aan schandpaal hebben. Of denk je dat er toch te weinig schandpalen zijn voor de drugsgebruikers?

Ik wil cybercrime zeker niet goed praten, maar hou het wel een beetje in lijn met andere vormen van criminaliteit.

[GertMenkel]

De overheid probeert al jaren om steeds meer regels te overtreden en rechten in te perken in de strijd tegen drugs. De linkse partijen roepen steeds vaker voor het compleet opengooien van de drugsmarkt, maar Nederland stemt rechtsliberaal en die partijen zijn niet zo van de drugs

Persoonlijk vind ik dat iedereen die illegale drugs koopt verantwoordelijk is voor een bijdrage aan de narcostaat en het geweld in Zuid-Amerika, maar de drugsgebruikers vinden dat zelf allemaal wel meevallen. Men voelt zich niet verantwoordelijk, maar de overheid rekent het ze zeker aan.

Het verschil hier is dat niemand verslaafd is aan het betalen van losgeld, maar dat drugs erg snel verslavend wordt. Drugsverslaafden hebben begeleiding nodig om weer een normaal leven te leiden, dus criminaliseren kan sterke averechtse effecten hebben, helemaal omdat die mensen ook al andere geestelijke gezondheidsproblemen hebben.

Het punt van een betaalverbod is dat criminelen vantevoren weten dat er geen geld te halen valt. Daarnaast heb je bij rsnsomware hetzelfde probleem als bij datalekken: grote bedrijven verzekeren zich hiertegen, en als het misgaat zal de verzekering voor de goedkoopste optie kiezen. Vaak is dat betalen in plaats van backups herstellen. Het gevolg daarvan is dat de regels en beveiligingsnormen minimaal worden gevolgd, want de verzekering betaalt toch wel.

Als de AH een werknemerveiligheidsverzekering neemt en iedere keer als er weer een directeur wordt ontvoert gewoon een zak geld opstuurt, geeft dat natuurlijk het verkeerde beeld. Dat is wat extremer dan rsnsomware, maar hetzelfde principe geldt ook voor afpersverzekeringen.

Ik zeg niet dat een bedrijf zich aan de schandpaal hoeft te nagelen. Zo'n melding is niet openbaar. Er volgt hoe dan ook een onderbreking van service, en het bedrijf kan dat naar hun klanten communiceren hoe ze dat ook willen. Ze moeten alleen een andere oplossing vinden dan aan criminelen betalen.

Hoe dan ook is het enige verbod op losgeld dat momenteel op tafel ligt een verbod voor verzekeraars om losgeld als "oplossing" te kiezen. Dat vind ik een goed idee, dat ik het liefste heel Europa in één keer zie doen.

[cariolive23]

De overheid probeert al jaren om steeds meer regels te overtreden en rechten in te perken in de strijd tegen drugs. De linkse partijen roepen steeds vaker voor het compleet opengooien van de drugsmarkt, maar Nederland stemt rechtsliberaal en die partijen zijn niet zo van de drugs

De SP is evenmin voor het vrijgeven van harddrugs en is bij mijn weten een linkse partij. (Hoewel ik persoonlijk die termen Links en Rechts echt nergens op vind slaan)

Persoonlijk vind ik dat iedereen die illegale drugs koopt verantwoordelijk is voor een bijdrage aan de narcostaat en het geweld in Zuid-Amerika, maar de drugsgebruikers vinden dat zelf allemaal wel meevallen. Men voelt zich niet verantwoordelijk, maar de overheid rekent het ze zeker aan.

Persoonlijk heb ik niet de indruk dat de NL overheid dit de gebruiker aanrekent.

Het verschil hier is dat niemand verslaafd is aan het betalen van losgeld, maar dat drugs erg snel verslavend wordt.

Dat is helemaal waar, maar zelfs cocaïne is niet na 1x gebruik al verslavend. Het feit dat je het op veel feestjes gewoon ongestraft even kunt gebruiken, dat is ook een reden waarom mensen uiteindelijk wel verslaafd raken. Je overtreedt zelfs geen wet wanneer je het gebruikt.

Drugsverslaafden hebben begeleiding nodig om weer een normaal leven te leiden, dus criminaliseren kan sterke averechtse effecten hebben, helemaal omdat die mensen ook al andere geestelijke gezondheidsproblemen hebben.

Dit is pas van toepassing nadat ze verslaafd zijn geraakt, dan pas komen ze echt in de problemen.

Geestelijke gezondheidsproblemen kom je overal tegen, daarvoor hoef je niet verslaafd te zijn.

Als de AH een werknemerveiligheidsverzekering neemt en iedere keer als er weer een directeur wordt ontvoert gewoon een zak geld opstuurt, geeft dat natuurlijk het verkeerde beeld. Dat is wat extremer dan rsnsomware, maar hetzelfde principe geldt ook voor afpersverzekeringen.

Wat je hier beschrijft, komt hier in Zuid Amerika vrij regelmatig voor. En wanneer men niet betaald, is het gewoon game over voor de desbetreffende directeur. Al worden meestal vrouw en/of kinderen gegijzeld omdat de directeur voor het geld moet zorgen. En ook die worden net zo gemakkelijk afgeknald.

Wanneer je op het punt staat om álles te verliezen, en of dat nou je bedrijf is of je leven, dan ga je echt wel betalen. Of dat nou verboden is of niet. Bedrijf naar de bliksem, maar oh wat geweldig, je hebt geen losgeld betaald. Welk probleem lost dat nou voor jou als slachtoffer op?

Maar goed, bedrijven en andere instellingen zouden ook wel eens iets beter hun kunnen doen om hun systemen te beveiligen. Want daar begint het mee.

[kodak]

Met de eerste redenatie kan je dan net zo goed alle wetgeving wel kan afdoen als dat je die niet moet willen omdat er toch wel mensen zijn die zich er niet aan houden. Dat klinkt niet redelijk. Wetgeving is er niet om de mensen te dienen die zich er niet aan willen houden.

Het argument dat je niet zomaar iets van de overheid hoeft te verwachten ben ik met je eens, maar dat gaat net zo goed op als je bedrijven wil inzetten. Aangezien het onredelijk zou zijn te doen alsof er geen ondersteuning nodig is komt het er dus op neer dat eerst duidelijk is om wat voor ondersteuning het zou gaan. En dat gaat kennelijk niet alleen om ondersteuning als het al mis is.

[Siaon]

Er zijn wel meer misdrijven die voldoen aan de redenen opgevoerd door de SP: neem bijvoorbeeld verkrachting; verkrachting is vergelijkbaar in de zin van dat de bereidheid tot melden ook vaak laag ligt, en er ook weinig inzicht is in de totale schade die hiermee berokkent wordt.

Dat laatste wordt eigenlijk ook geimpliceerd door dat eerste en is in die zin mogelijk een drogreden.

De SP gaat een 'interessante' kant op.

[demianmonteverd]

De SP is nog in de veronderstelling dat de overheid steun kan bieden aan de slachtoffers en uiteindelijk wellicht een rol kan spelen in het voorkomen van ransomware gijzelingen. Helaas is dat al een gepasseerd station en daarom is die plicht dan ook niet meer nodig en onwenselijk.

Ik vraag mij af waarom men niet vragen stelt over de kennis bij justitie om tot vervolging in de dergelijke zaken over te kunnen gaan. De paar cybercrime cases waar ik indirect van weet zijn allemaal nooit doorgezet door justitie. Zelfs aangifte doen bij de politie was moeilijk, die wilden in een van de gevallen niet eens opnemen in eerste instantie (want er was geen slachtoffer en dan krijgt het geen prioriteit bij justitie!). Doe daar eerst iets aan.

[Loesje]

Als er bij je bedrijf fysiek is ingebroken meld je dat toch ook bij de politie? Ook al heb je er misschien weinig vertrouwen in dat de politie de daders pakt, en had je eigenlijk camera's moeten hebben, en is het misschien ook een beetje je eigen schuld. Of ga je zelf proberen die criminelen te pakken?

Je doet die aangifte omdat je weet dat de criminelen er anders altijd mee wegkomen. En de maatschappij als geheel heeft daar baat bij.

En stel dat je het strafbaar stelt, de SP heeft het vooral over kijken naar de mogelijkheden, dan wordt het niet melden en dan alsnog losgeld betalen waarschijnlijk erger dan wanneer je het wel meld. Vergelijk het met doorrijden na een ongeval. Of andersom: als je je zelf aangeeft als je gezocht wordt. Daar heeft ons rechtsysteem echt wel een antwoord op.

Wel leuk om over na te denken is, of je het strafbaar maakt voor het bedrijf (boete), of via het strafrecht, zodat de persoon die het doet juridisch aangepakt wordt. Dat gaat nogal een verschil maken. (Ga jij voor je baas een misdaad begaan/losgeld betalen, als die daar om vraagt? Vergelijkbaar met de baas die een vrachtwagenchauffeur vraagt te lang door te rijden...)

[Leemeijer]

Ik denk dat bedrijven de aangifte vaak alleen doen omdat de verzekering dit vereist. Niet omdat ze hopen dat de politie de inbraak oplost

[demianmonteverd]

Het is ook in het belang van de bedrijven om aangifte te doen, dan komt deze terug in de cijfers en daar stuurt men uiteindelijk op. Als er geen inbraken zijn opgeschreven, dan zal men de budgetten anders kunnen verdelen immers.

Altijd aangifte doen dus.

[Cyberpuppy]

Adviseer ik ook altijd. Maar aan de andere kant, heb je al eens aangifte proberen te doen van Cybercrime.

Dat moet via de website (hoor je aan de telefoon). Vervolgens wordt je op de website doorverwezen naar een telefoonnummer. En aan de telefoon wordt je dan weer doorverwezen naar een particuliere organisatie (hallo Fraudehelpdesk). Die als eerste tip geeft om de betreffende emails te verwijderen (is dus bewijs vernietigen). Tegen die tijd is 99,9% van de mensen al afgehaakt. De echte volhouders mogen dan nog een middag verlof nemen om naar het bureau te gaan om daar alsnog hun aangifte te laten opnemen.

Je zou je als overheid ook kunnen afvragen waarom de aangiftebereidheid zo laag is en daar dan iets aan doen. Dit in plaats van de standaard reflex van nog meer regeltjes.

[demianmonteverd]

Nee, dat soort dingen pakt onze bedrijfsjurist op. Maar dat het een enorme hoeveelheid tijd en energie kost van haar, dat kan ik vanaf de zijlijn bevestigen.

Dit is een kwestie van volhouden, op een gegeven moment zijn er zoveel mensen die hiermee te maken hebben gehad dat men er iets aan gaat doen. Fijn, dat er mensen zijn, die niet direct meteen vragen om strengere straffen of additionele instanties, regels, organen/instanties en gewoon vragen om passende regels die gewoon toegepast worden. Dat maakt het meeste verschil uiteindelijk.

[sampoo]

Als er bij je bedrijf fysiek is ingebroken meld je dat toch ook bij de politie? Ook al heb je er misschien weinig vertrouwen in dat de politie de daders pakt, en had je eigenlijk camera's moeten hebben, en is het misschien ook een beetje je eigen schuld. Of ga je zelf proberen die criminelen te pakken?

Een betere vergelijking is dat de inbrekers aanbieden om de spullen die belangrijk zijn voor de voortgang van de onderneming terug te brengen tegen een vergoeding en de praktijk is dat ze dat na betaling nakomen. Dat maakt de afweging toch een stuk anders.

[Anoniem: 851517]

De reden waarom een meldplicht wel goed is om vanuit de overheid druk te kunnen leggen op een land (Rusland). Poetin heeft gezegd tegen Russische hackers: Je mag de hele wereld hacken behalve een .ru domein. (*knip*) Uiteindelijk is een ransomware aanval een aanval. (*knip*)

Admin-edit:

Oproep tot geweld verwijderd

[Reactie gewijzigd door Santford op 23 juli 2024 18:56]

[demianmonteverd]

Ransomware groepen zitten volgens mij overal, Afrika, Azie, Europa en Latijns Amerika. Als in heel Rusland er geen enkele ransomware aanval meer gepleegd zal worden hebben we er dus nog steeds veel hinder van.

[Skywalker27]

Typisch politiek lopen te schreeuwen maar totaal niet weten waar ze het over hebben.

[demianmonteverd]

De meeste politieke partijen hebben adviseurs voor de meeste inhoudelijke onderwerpen aan zich verbonden (geen idee hoe dat zit bij de SP). Dat zijn vaak capabele mensen. Het gaat mis in de vertaling vaak. En vaak is er gewoon een andere agenda die opspeelt. Soms hebben de adviseurs ook een agenda. En er is nog een component afgesproken internationaal natuurlijk.

[Skywalker27]

Vaak hebben die adviseurs geen idee zijn vaak bestuursleden enz enz vaak met een andere agenda.

[bzzzt]

Pleiten voor een meldplicht én een verbod op het betalen van losgeld? Dat moet je niet willen, als de belangen te groot zijn wordt er toch betaald en dan is er alles aan gelegen om het als het even kan in de doofpot te stoppen en en het juist niet te melden.

Dat verbod lijkt inderdaad erger dan de kwaal. Toch vind ik het puur qua rechtsgevoel vreemd dat je in dit land de cel in mag als je buitenlandse terroristische organisaties geld overmaakt terwijl het kennelijk geen probleem is buitenlandse bendes te betalen die hier veel meer schade aanrichten.

En het is 2021. Misschien is het beter dat bedrijven die nu nog steeds niet in staat zijn hun gegevens goed te borgen maar eens plek maken voor bedrijven die het wel snappen.

[Tintel]

En gebeurt vervolgens ook niet hetzelfde als met reguliere diefstallen/inbraken/internet-oplichting?

Want daarbij is het toch echt wel "fijn dat u het meldt maar we hebben het veel te druk / zijn onder bezet".
Gevolg: steeds minder mensen melden het niet want het effect is toch: noppes.
Dan hebben verzekeringen nog de neiging om een aangifte te eisen. Maar dat is dus ook een papieren tijger.

<cynisch>
En dan nu de politiek die weer een plicht bedenkt voor bedrijven.... hoe is het gesteld met de plicht om te zorgen voor een veilige samenleving? Want dat lukt steeds minder omdat die cybercriminelen niet in hetzelfde land zitten. En dan moet dezelfde overheid ook niet weer gaan roepen: ja als we nu iedereen konden volgen dan zouden we wel kunnen optreden. Is ook pure onzin. Kentekens kunnen prima worden gevolgd maar als je vervolgens als politie geen tijd/mensen hebt, dan gebeurt er voor de burger niet veel.
Tenzij er natuurlijk iemand langs het huis van Rutten rijdt en stoute dingen doet/zegt, dan lukt dat vast een stuk beter...
Dus zo'n meldingsplicht is een niets meer dan het toonbeeld van onvermogen; "ja, als we het nu wisten dan konden we er wat aan doen" of "als we het patroon zouden weten hoe ze werken dan zouden we kunnen optreden". tuurlijk...

[Cyberpuppy]

Bijkomend probleem is dat de politie al die aangiftes moet gaan opnemen en dus nog minder tijd over houd voor het uitvoeren van hun andere taken.

[MarkS90]

Bedrijven begrijpen nog steeds niet dat gevoelige data niet aan het internet gekoppeld hoort te zijn maar aan een eigen apart netwerk, zonder contact met de buitenwereld.

[david-v]

Volgens mij begrijp je niet helemaal hoe een ransomware aanval werkt. Netwerken zijn vrijwel altijd aan elkaar gekoppeld. Ook een intern netwerk is gekoppeld met een ander netwerk die wel toegang heeft tot internet. Hoe krijg je anders die data op dat gesloten netwerk, met usb sticks of harde schijven? Uiteraard zijn "gesloten" netwerken goed beveiligd met allerlei software muren. Maar ook die kunnen een kwetsbaarheid bevatten.

Bovendien, wat is gevoelige data? Kan je je een webshop voorstellen waarvan de systemen niet gekoppeld zijn aan het internet voor de afhandeling van een order en betaling?

Het is niet zo simpel zoals je denkt. Beveiliging van IT is een vak apart.

[Tintel]

Helemaal mee eens. Roepen dat je dan maar niet moet koppelen is net zoiets als zeggen dat je huis geen ramen en deuren moet hebben - want daar komen de inbrekers door naar binnen...

[MarkS90]

Rustig nou. Ik vraag mij alleen af waarom het toch blijkbaar makkelijk is om in te breken op een bedrijfssysteem terwijl dat bedrijf hun informatie zo waardevol vinden. Dat kun je toch deels voorkomen door gescheiden systemen.

Informatieuitwisseling van het ene naar andere systeem is een keus die men moet maken.

[Anoniem: 454358]

Tja, maar lekker makkelijk hè? Anders moet Truus met een USB stickje op en neer, of nog erger documenten printen, archiveren en overtikken.

[Pikoe]

Zijn de meeste ransomware aanvallen niet al een datalek? Is er geen mogelijkheid om uit de data van die meldplicht je data te halen?

[densoN]

1. Een datalek, en de bijbehorende meldplicht, heeft volgens de wet (AVG) enkel betrekking op persoonsgegevens. In het geval van een ransomware incident hoeft hier niet altijd sprake van te zijn.
2. Wanneer je na gedege onderzoek redelijkerwijs kunt uitsluiten dat persoonsgegevens zijn gelekt of onherstelbaar zijn vernietigd.

Dus wanneer jouw werkgever een database server heeft met personeelsgegevens die versleuteld raakt en men aan de hand van digitaal forensisch onderzoek kan vaststellen dat:
- Er geen onbevoegden directe toegang hebben gehad tot het netwerk;
- De (versleutelde) data het netwerk niet heeft verlaten;
- Je werkgever in staat is om de volledige data te herstellen (door versleuteling ongedaan te maken of backups terug te plaatsen)

Is er GEEN sprake van een datalek.

[kodak]

Ik ben het met je eens dat het niet in alle omstandigheden meldplichtig is onder privacywetgeving. Maar hoe vaak denk je dat die uitzondering zich werkelijk voor doet terwijl het doel van die aanvallen is om een bedrijf te raken in wat ze aan gegevens veel geld waard is en bedrijven nauwelijks mogelijkheid hebben hard te maken dat er niets aan persoonsgegevens gelekt is?

[Pikoe]

Tegenwoordig bevat vrijwel alle data persoonsgegevens. Als je een bestand opslaat staat bijvoorbeeld al aangegeven wie dat heeft gedaan.

[Sannr2]

Als de data tijdelijk niet beschikbaar is is dat ook al een datalek. Dat is een “Inbreuk op de beschikbaarheid”. De autoriteit persoonsgegevens noemt het zelfs als voorbeeld op hun website: “een besmetting met ransomware waarbij persoonsgegevens ontoegankelijk zijn gemaakt.” https://autoriteitpersoon...ing/meldplicht-datalekken

[Platpoot]

Ja hier dacht ik ook meteen aan, als je bent geransomed bent, heb je geen idee wat er voor de rest met je data is gebeurd. Vaak nemen ze ook wat data in gijzeling voor het geval je niet betaald. En daar ia dus je datalek.

[GertMenkel]

Als iemand de server met je inventaris versleutelt maar de server met je klantgegevens niet, heb je wel rsnsomware maar geen datalek, althans niet in de vorm dat je er iets voor moet melden. Hetzelfde kan ook gebeuren met interne applicatieservers waar het opnoriw opbouwen van de configuratie duurder is dan het betalen voor ontsleutelen (denk aan van die servers waar al 20 jaar steeds een klein beetje software of config wordt toegevoegd en waarvoor geen budget vrijkomt om ze een keer opnieuw in te richten).

De bestaande meldplicht geldt alleen voor persoonlijke informatie, deze meldplicht zou gelden voor alle rsnsomwaregevallen.

[Platpoot]

Dan zou je het alleen over een losse server hebben. Als je het over een server in het domein hebt, dan zal je eigenlijk altijd het hele AD kunnen uitlezen, tenzij dit heel specifiek is dichtgezet. En daarmee dus een datalek hebt van interne gebruikersgegevens.

[GertMenkel]

Ligt aan de opzet van je systeem, natuurlijk. Linuxservers zijn meestal niet op een AD aangesloten, dus succes met het uitlezen daarvan. Daarnaast is het hacken en leeghalen van een AD een stuk complexer dan het schrijven van een cryptolocker; een cryptolocker schrijf je in een week, plus nog de nodige tijd om de de bitcoininfrastructuur op te zetten, een goede AD exploit die ook informatie lekt via een kanaal dat niet direct opvalt is net weer een stukje lastiger.

Als crimineel zou ik genoegen nemen met alleen een cryptolocker, dat levert al genoeg geld op. Lekken van gegevens maakt het alleen maar onnodige makkelijk om de daders te vinden.

[Platpoot]

Je ziet dat veel groepen het lekken van gegevens als extra dreigement gebruiken.
Het leeghalen van het AD is echt ontzettend makkelijk, en het gaat dan echt niet om heel veel data, het is platte tekst (als je het exporteert) met een mb of 25 heb je het snel gehad, helemaal met een paar filters.

Verder Linux, dan zit je al snel buiten de cryptolocker wereld, ik heb tot nu toe nog niet gehoord dat dergelijke systemen vaak onderdeel zijn van de aanval.

[GertMenkel]

Bij de aanval op de universiteit Maastricht kwam men binnen via Linux-servers, en zijn die servers ook meeversleuteld. Er zijn hele families malware die zich specifiek op Linuxservers richten omdat die vaak geen antivirus hebben en makkelijk over te nemen zijn als de beheerders eenmaal een paar maandjes vergeten te patchen.

Mijn punt blijft: veel criminelen zullen inderdaad voor een datalek zorgen, maar dat is geen vereiste. Er zijn genoeg criminelen die het op de ouderwetse manier doen en alleen versleutelen.

[Nekje64]

We hebben voor phishing ook een meldpunt Fraudehelpdesk. De overheid roept op daar alles te melden. Die helpdesk vraagt niet eens waar het vandaan komt, 06-nummer, website, kun je niet opgeven. Ik heb opheldering gevraagd, ze mogen dat soort privacygevoelige gegevens niet opslaan! Dat is dus eens en nooit weer. En als je bij de Pliesie komt voor diefstal van je fiets lachen ze je uit. Dit lijkt mij de zoveelste zinloze motie waar de politiek haar eigen tijd mee verdoet. De meeste moties zijn bedoeld om populair te doen op Twitter: “Het kabinet stemt tegen ons wetsvoorstel tegen discriminatie van linkshandige doven in Utrecht, weg met dit kabinet”

[The Zep Man]

We hebben voor phishing ook een meldpunt Fraudehelpdesk. De overheid roept op daar alles te melden. Die helpdesk vraagt niet eens waar het vandaan komt, 06-nummer, website, kun je niet opgeven. Ik heb opheldering gevraagd, ze mogen dat soort privacygevoelige gegevens niet opslaan! Dat is dus eens en nooit weer. En als je bij de Pliesie komt voor diefstal van je fiets lachen ze je uit. Dit lijkt mij de zoveelste zinloze motie waar de politiek haar eigen tijd mee verdoet.

Het heeft alles te maken met een rechtmatig doel. Voor de genoemde voorbeelden van jou is dat er niet. Bij dit voorstel kan zo'n doel altijd gemaakt worden, indien nodig.

[loki504]

Ze gaan ook niet elke melding onderzoeken. Wat ze met die melding in kaart willen brengen is de hoeveelheid slachtoffer en eventueel van welke partij het komt.

Als blijkt dat 80% van de melding van 1 partij komen en de overige 20% van 10 andere partijen komt heeft het nut om dat veder uit te zoeken en eventueel politieke acties ondernemen(mocht het land waar ze zich bevinden niet willen meewerken).
En ik ben nog nooit uitgelachen als ik een melding/aangifte deed van "misdrijf". Wel dat ze er niets mee deden en dat is logisch ze kunnen helaas niet overal achteraan.

[Tintel]

Uitlachen is natuurlijk niet iets wat letterlijk gebeurt maar wees nu eens realistisch; het worden statistieken, meer niet.
En dat ligt niet aan de politie hoor - die willen wel.

En niet elke melding onderzoeken - tja als er zoveel meldingen zijn dat dit niet meer kan dan hebben we dus wel een probleem...
Maar buiten dat: nu lijkt het andersom; geen enkele melding wordt onderzocht.

En dan jouw stelling: pas als dus 80% van 1 partij afkomstig is dan rechtvaardigd dit een onderzoek. Tja - dat lijkt prioriteiten stellen om beperkte capaciteit te sturen maar dat is onzinnig. Wat dus als de partijen zich nou eens niet elke keer hetzelfde noemen? Wat gaan we dan doen? Verplichten dat ze hun eigen naam gebruiken? En waarom wordt iemand niet geholpen als het toevallig de eerste keer als Bartje Boef de boel in ransom neemt?
Dat is ongeveer hetzelfde als zeggen: "We hebben ontdekt dat de boeven vaak een masker dragen dus we gaan ons vooral richten op gemaskeerde personen"...

Sorry - maar je maakt je helaas schuldig aan het goed praten van een gefaald systeem. In plaats van proberen het systeem te verbeteren worden regels bedacht voor de slachtoffers... En het logisch vinden dat ze er niet veel mee kunnen vanwege beperkte capaciteit maar wel een meldingsplicht in stellen - zodat nog meer meldingen zullen binnenkomen is toch echt het toppunt.

Ik weet nog goed die discussie van gemeentes met winkeliers: die wilden graag rolluiken omdat er veel werd ingebroken. Ook de verzekering ging dit verplichten. Maar de gemeente vond het daarom zo ongezellig in de binnenstad na winkelsluitingstijd.... dus die ging rolluiken verbieden en daarna rolluiken toestaan die voldoende open waren. Maar was dat een oplossing voor het probleem? Nee toch?

[Mathi159]

Ik ziet het postvakje al staan op het politiebureau, met de versnipperaar ernaast wegens te weinig mankracht.
Waarom die meldingsbereidheid nou toch zo laag ligt is wellicht een betere vraag die de SP kan stellen

[PageFault]

De SP heeft altijd van dat soort nutteloze ideeen. Wat me verbaast is dat Renske dit blijkbaar poneert. Eeuwig zonde, omdat ze zo goed werk verricht heeft samen met Omtzigt met de toeslagen affaire....

[Loesje]

Naast het postvakje 'fietsendiefstal', waarschijnlijk. Maar op die manier wordt er wel op gerapporteerd, weten politie en justitie wat de schade is. En als blijkt dat het maatschappelijke probleem toch zo groot is dat het prioriteit krijgt, dan kunnen er echt wel flinke stappen gezet worden.

[Tintel]

Eerst het maatschappelijke probleem laten oplopen tot een onhandelbaar probleeem is toch geen manier om tot een oplossing te komen.
We leven nu in een maatschappij waar we fietsendiefstal accepteren (gelukkig nog wel locatie afhankelijk).
Maar de reactie kan dan toch niet zijn; pas als het aantal meldingen hoog genoeg is zullen we ingrijpen....? Nee, zodra de politie begon met zeggen "sorry, we kunnen niets voor u doen" ging het mis. En de politie heeft dat vast ook netjes gemeld aan de beslissers / beleidsmakers.
Maar wat is de reactie van de poltiek: zorgen dat het laagdrempelig wordt om aangifte te doen en de politie verbieden om te zeggen dat ze niets zullen doen en daarna klagen dat de meld-bereidheid erg laag is.
En wat is dan de reactie: verplicht aangifte doen? Ziet iemand het symptoom reactie gedrag hier?

Nou, dit is precies hetzelfde; stellen dat men moet melden want dan pas wordt het een echt probleem en dan pas kan de overheid helpen. Natuurlijk is het waar dat zonder melding er geen actie zal volgen.
Maar als van tevoren bekend is dat geen actie volgt waarom dan nog melden?

[j-phone]

De politica maakte ook gewag van een verbod om losgeld te betalen.

Geen probleem natuurlijk bij (semi)overheidsinstellingen.

Ze voegde daaraan toe dat bedrijven dan wel voldoende ondersteuning moeten krijgen in hoe ze omgaan met criminelen. "Je moet weten dat je meteen hulp kunt krijgen met het misschien oplossen van zo’n aanval", aldus het SP-kamerlid.

Deze snap ik niet helemaal. Zegt zij hier nu dat de burger, middels belastingeld, moet opdraaien voor slechte beveiliging bij private bedrijven? Laat 'de markt' dat zelf maar regelen.
Ik begin steeds minder te snappen waar die drang vandaan komt, vanuit de overheid, om private bedrijven subsidies te verstrekken, terwijl diezelfde bedrijven schreeuwen dat 'de vrije markt' en 'marktwerking' in alles beter zijn dan een overheid.

[Loesje]

Dat doet de overheid ook als er bij slecht beveiligde bedrijven ingebroken wordt. Een bedrijf kan criminaliteit namelijk niet zelf aanpakken omdat ze niet zomaar daders mogen gaan opsporen en straffen. Dat is aan de overheid voorbehouden.

[sayf4u]

De SP mag zichzelf verplichten om een slachtoffer niet twee keer slachtoffer te laten worden!

1) slachtoffer ransomware
2) slachtoffer verplichte medewerking

[beerse]

In Nederland hebben we bij mogelijk criminele en/of strafbare zaken in de eerste plaats de politie waar aangifte gedaan zou kunnen worden. Maak het doen van zo'n aangifte makkelijk en zorg er voor dat die aangiftes ook worden geaccepteerd en in ieder geval administratief verwerkt. Dan heb je meteen je meldpunt.

Met als bijkomend voordeel dat ook andere instanties meteen met je mee kunnen en willen werken om er iets aan te doen. Een gemiddelde verzekering wil in de regel pas iets doen als er aangifte gedaan is. Ook andere instanties doen dan pas iets.

Enneh, het betalen van losgeld of zo iets: natuurlijk moet dat sterk worden afgeraden. Maar het zou beslist niet strafbaar moeten worden. Zodra het strafbaar wordt, zal het veel minder worden gemeld.

[Tintel]

eh, dus melden helpt zeg jij... dan wordt het bekend maar het is nu toch bekend? Dus waarom nog meer melden?

En de verzekeringdmaatschappij heeft boter op haar hoofd; die aangifte is niets meer dan weer een drempel om te zorgen dat niet teveel wordt geclaimed.
Want stiekem is het doen van aangifte lang niet altijd zo laagdrempelig. Als het niet via het internet loopt dan kost het toch wel serieus veel tijd. Dus moet de burger vrijnemen. En dat kost ook weer wat. En Wat krijg je ervoor terug? Statistieken...
En wanneer loopt het via internet? Als het aantal melden te hoog is opgelopen - dat kost teveel tijd dus is het gerechtvaardigd om een IT-er een website te laten inrichten of een form op te stellen. Maar wat schieten we ermee op? Statistieken.
En het 'mooie' is: dankzij die statistieken bepaalt de verzekeraar dat de premie in sommige gebieden wat hoger is.... Nu komen ze daar sowieso wel aan; want als er claims zijn dan hebben ze die gegevens ook. Dus waarom eigenlijk die verplichte aangifte? Om fraude tegen te gaan vermoedelijk. Yep - dus vooral om zichzelf te beschermen tegen verlies....

[beerse]

Op zich zeg ik niet dat melden helpt. Maar ik zeg dat als melden gewenst of zelfs verplicht is, dan is de geëigende plaats voor zo'n melding een aangifte bij de politie. En dat dan daar uit vandaan de meldingen binnen (en buiten) de overheid door druppelen.

Daarbij: die aangifte moet dan ook zo eenvoudig als nodig zijn en zeker wel worden geaccepteerd. En natuurlijk ook worden opgevolgd. Het heeft geen pas om zaken wel te moeten melden maar dat daar dan niets meer mee gebeurt.

[litebyte]

Ik zou voor de SP moeten gaan werken...toen ik dat een aantal dagen geleden hier voorstelde kreeg ik een -1 ...in rood.

[Tintel]

Zou mooi zijn dat we ook een courant waardeeringsysteem hadden voor poltieke partijen / politici. Dus niet alleen tijdens het periodieke circus (om de 4 jaar of iets eerder als ze er echt een zooitje van hebben gemaakt).

[litebyte]

Het hele politieke bestel zal op zijn kop moeten er is de afgelopen 20 jaar zoveel veranderd. Het kennisniveau van de Nederlander, zeker in vergelijking met veel andere EUropese landen is ruim voldoende voor veel meer inspraak en burgerparticipatie. Of dat nu gaat om lokaal - de plaatsing van een datacenter van een of andere digitale grootgrutter uit de VS of de grondrechten in relatie tot bijvoorbeeld mogelijk 2G beleid.

Maar dat is een andere discussie...

[ComputerGekkie]

Denk je niet dat criminelen 2 keer nadenken als er een verbod op betalen van losgeld komt? Het bedrijf heeft nu alleen geld te verliezen, maar in het geval van een verbod kunnen ze daarbovenop ook nog gestraft worden voor alsnog betalen. Dan gaan die dieven wel ergens graaien.

[litebyte]

Het probleem wat dan kan zijn is dat hele grote bedrijven (denk aan multinationals) dan eieren voor hun geld kiezen en zowel het losgeld asl de boete kunnen betalen. en kleinere bedrijven daar de financiele mogelijkhedi niet voor hebben.

Ransomware aanvallen kunnen ook niet specifiek gericht zijn. Particulieren kunnen ook slachtoffer zijn.

[ComputerGekkie]

Ik heb liever dat ze achter de grote multinationals aan gaan. Die hebben doorgaans betere beveiliging hiervoor en hebben ook het geld om ervoor te zorgen dat het óf voorkomen word óf er goede damage control komt i.e. backups ed.

[MrMonkE]

Het probleem wat dan kan zijn is dat hele grote bedrijven (denk aan multinationals) dan eieren voor hun geld kiezen en zowel het losgeld asl de boete kunnen betalen. en kleinere bedrijven daar de financiele mogelijkhedi niet voor hebben.

Ransomware aanvallen kunnen ook niet specifiek gericht zijn. Particulieren kunnen ook slachtoffer zijn.

Je kunt ook als je in een een niche actief bent een concurrent lam liggen of kleinere partijen.
Maar dat zou nu ook al kunnen. Hacken en geen losged vragen.

NB: dit in verband met gerichte aanval/specifiek..

[Zer0]

Denk je niet dat criminelen 2 keer nadenken als er een verbod op betalen van losgeld komt?

Nope, dan verzinnen ze wel een methode om het toch mogelijk het losgeld binnen te halen.. Dan heet het geen losgeldd meer maar een consultancy fee..
Criminelen trekken zich over het algemeen niet veel aan van de wet, waarom zouden ze zich wel wat aantrekken van een verbod op losgeld betalen?

[ComputerGekkie]

Omdat hun slachtoffers zich wel wat aantrekken van de wet. Het verbod raakt de criminelen ook niet direct. Maar via hun slachtoffers die ze niet kunnen leegtrekken.

[Tintel]

Ja -want we weten allemaal dat het verbieden op bepaalde acties zonder daarop te kunnen controleren, heel goed werkt....

En ik vind ook dat het mensen verboden zou moeten worden om hun auto-sleutels binnen neer te leggen. Want dan bedenken die auto-dieven zich wel 2 keer voordat ze inbreken. Die sleutels liggen er dan toch niet...

En ik vind ook dat mensen niet meer hun fiets mogen neerzetten - want dan wordt deze gestolen.

Anders gezegd: degene die niets (bewust) misdaan heeft verplichten zijn/haar gedrag aan te passen is een verkeerde route. Stellen dat mensen/bedrijven voorzichtig moeten zijn is prima. Maar vervolgens slaat dit dan weer door in het beboeten van de 'verbrekers'. Dat is feitelijk criminalisering.

[litebyte]

En ik vind ook dat mensen niet meer hun fiets mogen neerzetten - want dan wordt deze gestolen.

De vergelijking is een beetje krom. Ransomware aanvallen kunnen lang niet alleen financiele concequenties hebben. Eerdere ransomware aanvallen troffen heel veel burgers omdat het systeem van een grote supermarktketen plat lag. In Korea ken ik een voorval van een ziekenhuis.

Meldingsplicht kan ertoe bijdragen dat bedrijven zich meer zullen gaan inzetten voor de beveiliging van hun systemen.

Als uw sleutels worden gestolen, wil dat niet zeggen dat de rest van de straat ook de fiets moet pakken

[Reactie gewijzigd door litebyte op 23 juli 2024 18:56]

[Tintel]

Ja - maar alsof een bedrijf niet uit eigen beweging al niet verschoond blijft van een ransom aanval?

En die: het heeft ook effect op andere burgers is altijd op te voeren. "Want die fiets was toevallig wel van een arts (kleine kans dat hij geen taxi kan betalen) en die was nu te laat voor levenreddende operatie."

Dus een grote supermarktketen zeg jij; alsof er maar 1 is...
Elk bedrijf wil graag onmisbaar zijn maar is dat stiekem nooit.

Dus een ziekenhuis zeg jij: wel nu - dan beweer ik dat het doel niet zozeer financieel was maar ook ethisch gezien een bepaald effect beoogde. Maar daar hebt de meldplicht toch echt niet.

[cariolive23]

Denk je niet dat criminelen 2 keer nadenken als er een verbod op betalen van losgeld komt?

Nee, want het slachtoffer heeft nog steeds hetzelfde probleem en de enige die dit kan oplossen, is de crimineel.

Het bedrijf heeft nu alleen geld te verliezen, maar in het geval van een verbod kunnen ze daarbovenop ook nog gestraft worden voor alsnog betalen. Dan gaan die dieven wel ergens graaien.

En een slachtoffer die zich aan deze wet houdt, gaat failliet. Leg dat maar eens uit aan je (ex-) werknemers: We zijn failliet, jullie hebben geen baan meer, maar ik heb me wel keurig aan de wet gehouden!

En 's avonds snuift men elders nog even een lijntje coke weg, wat tenslotte evenmin strafbaar is in Nederland. Dat je met het gebruik van coke, wat dus niet strafbaar is, een keiharde criminele wereld in stand houdt, interesseert blijkbaar niemand. In elk geval de SP niet. Zet daar maar eens flinke boetes op.