Enisa: merendeel van ransomware-infecties wordt niet gemeld aan autoriteiten

Het merendeel van de ransomware-infecties op Europese bedrijven en instellingen wordt niet gemeld aan de autoriteiten. Ook is van een groot deel van de slachtoffers onbekend hoe ze geïnfecteerd raken en of ze het losgeld betalen. Dat zou de aanpak van ransomware bemoeilijken.

Enisa, het agentschap van de Europese Unie voor cyberbeveiliging, schrijft in een rapport dat het weinig zicht heeft op ransomwareslachtoffers. Het agentschap keek voor het onderzoek naar 623 incidenten in zowel de EU als het Verenigd Koninkrijk en de Verenigde Staten die in het afgelopen jaar plaatsvonden. In totaal zou daarbij tien terabyte aan data zijn gestolen. In 58 procent van de gevallen werd ook data gestolen van werknemers. Enisa gebruikte rapportages van bedrijven en overheden, mediaberichten en blogposts en in enkele gevallen berichten op het dark web.

Een opvallende conclusie in het rapport is dat Enisa van 94,2 procent van alle incidenten niet kon achterhalen of het bedrijf het losgeld betaalde. In 37,88 procent van de gevallen werden op een later moment alsnog gegevens gedeeld op internet die bij de aanval werden gestolen. "Daaruit kunnen we concluderen dat 61,12 procent van alle bedrijven tot een overeenkomst is gekomen met de aanvallers of een andere oplossing heeft gevonden", schrijven de onderzoekers. Bij ransomware-infecties is het inmiddels de norm dat aanvallers ook dreigen om gestolen data openbaar te maken, als extra pressiemiddel op het slachtoffer. Dat gebeurt in het overgrote merendeel van de gevallen.

De onderzoekers zeggen daarnaast dat het aantal bestudeerde gevallen 'slechts het topje van de ijsberg is'. In werkelijkheid zou het aantal ransomware-infecties veel hoger liggen. Dat is volgens de onderzoekers moeilijk te achterhalen, omdat veel slachtoffers hun incidenten niet publiek maken of die niet melden bij de autoriteiten.

Dat maakt ook nader onderzoek naar ransomware moeilijk, zegt Enisa. In veel gevallen kunnen of willen de slachtoffers niet zeggen hoe de aanvallers voor het eerst zijn binnengekomen. Gecombineerd met het feit dat ransomwarebetalingen vaak in het geheim worden gedaan, 'helpt die aanpak niet bij de bestrijding van ransomware, integendeel', schrijven de onderzoekers.

Enisa pleit ervoor dat er betere regels komen waarbij cyberincidenten verplicht gemeld moeten worden. Dat wordt beter mogelijk onder de Network and Information Security Directive of NIS2. Dat is een Europese verordening die momenteel in de maak is en die bedrijven binnen bepaalde sectoren verplicht om cyberincidenten te melden.

Reacties (19)

Een opvallende conclusie in het rapport is dat Enisa van 94,2 procent van alle incidenten niet kon achterhalen of het bedrijf het losgeld betaalde. In 37,88 procent van de gevallen werden op een later moment alsnog gegevens gedeeld op internet die bij de aanval werden gestolen. "Daaruit kunnen we concluderen dat 61,12 procent

Ik geloof dat de grote meerderheid inderdaad niet wordt gemeld, maar ik ben niet zo zeker van mijzelf dat ik dat in twee cijfers achter de komma durf te vermelden dat ik ergens weinig zicht op heb.

Bovenstaande redenatie is denk ik redelijk maar vast niet zo puur als het hier staat. Het is niet zo dat als je betaalt je er 100% zeker zonder kleerscheuren uitkomt. Aanvallers kunnen liegen. Nu doen ze dat meestal niet maar ik geloof niet dat het nooit gebeurt. Andersom betekent niet betalen nog niet 100% zeker dat je data op internet komt te staan. Het blijft werk en de waarde vande gelekte data van de bakker om de hoek is niet zo geweldig. Zelfs als data op internet wordt aangeboden is het maar de vraag of de onderzoekers het zien. Het is een zwarte markt, geen openbare supermarkt.
Ik durf zelfs te zeggen dat er ransomware-aanvallen zijn die nooit worden opgemerkt of waarbij het systeem (bewust of niet) wordt geformatteerd zonder dat iemand nog moeite doet de data te beschermen of terug te krijgen.
Dan is het er nog het aspect dat beveiligingsbedrijven hun werk ook graag stil houden. Iedere succesvolle aanval is namelijk ook een mislukking van de bescherming. Daarbij hebben commerciele beveiligers er voordeel bij om geheim te houden wat ze precies doen als concurrentiegevoelige informatie. We zouden dit soort informatie juist breed moeten delen zodat we ons kunnen verdedigen.


Maar, na al het pedante gezeur, ik geloof de uitkomst helemaal. De grote meerderheid wordt niet gemel en dat is schadelijk. Alleen al omdat er dan geen kennis gedeeeld kan worden en het volgende slachtoffer er ook weer alleen voor staat. Lastig is wel dat ransomware-infecties vaak gepaard gaan met chantage. Een datalek zou de reputatie van een bedrijf kunnen beschadigen (in mijn ervaring werkt het juist andersom en is zelfs een ransomware-aanval positieve reclame voor de meeste bedrijven, ain't no such thing as bad publicity) maar tegenwoordig maken ze het ook persoonlijk. Bv door persoonlijke e-mails te onderzoeken op blunders, affaires of andere gevoelige informatie. Zo wordt de druk op het slachtoffer opgevoerd en wordt het slachtoffer gedwongen het stil te te houden.

Wat doe je er tegen? MFA & offline backups zijn momenteel de twee punten die je aandacht het meest nodig hebben.
Maar eigenlijk wil ik het even hebben over wat je niet moet doen: een slechte "cyberverzekering" nemen.

Veel verzekeringen tegen ransomware zijn bijna net zo schandalig als waar ze tegen proberen te beschermen. Ze beschermen namelijk niet maar betalen alleen een klein stukje van de kosten en lang niet alles. Meestal zit er een vrije lage limiet aan wat ze uitkeren die niet genoeg is om alle schade te herstellen. Wat ze al helemaal niet doen is je bedrijf beschermen of helpen met terugvechten. Dat doen ze niet, het advies is altijd om te betalen. Sterker nog, als je niet direct op de knietjes gaat en betaalt dan loop je het risico dat je verzekering niet uitkeert omdat ze vinden dat je het probleem groter hebt gemaakt.
Als ze wel uitkeren is dat meestal alleen een bijdrage in het losgeld, alle bijkomende schade draai je zelf voor op.

Een verzerking is geen bescherming. Een verzekering dekt je schade niet. Voorkomen is beter dan genezen, genezen is beter dan verzekeren, zelf betalen is beter dan verzekeren. Neem geen verzekering die minder uitkeert dan het maximale bedrag wat je zelf kan dragen.

Ik zeg niet dat /alle/ verzekeringen slecht zijn maar ransomware-verzekeringen zijn vooral dure poppenkast. Leuk om je ass te coveren als je zelf geen verantwoordelijkheid wil dragen, met je verzekering kan niemand zeggen dat jij niks gedaan hebt. Maar ik denk dat je je geld over het algemeen beter kan besteden.
Typisch zijn die verzekeringen niet goedkoop en kun je voor dat geld ook een paar gespecialiseerde werknemers inhuren om jezelf te beschermen (bv met backups). Volgens mij is dat een betere manier om je geld in te zetten.

Overigens denk ik dat verzekeringen wel iets bij kunnen dragen maar dan moeten uitkeerlimieten fors omhoog en er moet betaald worden voor alle onkosten, niet alleen het losgeld. In die situatie gaan verzekeringen eisen stellen, bv dat je goede backups hebt. Daar zouden we iets mee kunnen bereiken. Helaas is mijn verwachting ook verzekeringsmaatschappijen zo veel eisen zullen stellen dat eigenlijk niemand er aan kan voldoen en je defacto alleen nog kan kiezen of je je IT aan MS of aan Google uitbesteedt.


Dus, maak backups! Offline! En test recovery!
Zet MFA in!
En neem geen cyberverzekering.

[Reactie gewijzigd door CAPSLOCK2000 op 2 augustus 2022 11:38]

Eens met je stuk. Behalve je állerlaatste zin

Een cyberverzekering is inderdaad onzin als je je basismaatregelen goed op orde hebt - iets wat een verzekeraar vraagt om te hebben, waardoor de kans op een cyberaanval al dermate verlaagd wordt.

Echter zie je dat steeds meer klanten en andere derde partijen eisen dat je een cyberverzekering hebt. Daarmee is de insteek niet informatiebeveiliging, maar een investering in potentiële nieuwe klanten en het behoud van huidige klanten. Dat is waar de markt voor cyberverzekeringen aantrekkelijk voor is. Nu zeg ik niet dat dit een goede ontwikkeling is, maar dit is een typische ontwikkeling van cover you ass binnen dit gebied.

Een cyberverzekering is inderdaad onzin als je je basismaatregelen goed op orde hebt - iets wat een verzekeraar vraagt om te hebben, waardoor de kans op een cyberaanval al dermate verlaagd wordt.

Als je het niet op orde hebt betalen ze ook niet.
Als ze wel betalen dan is het een schijntje in verhouding tot de kosten die je hebt.

Plus het feit dat er nog steeds een zeer grote kans is dat data weg/aangepast is. Daar helpt een som geld helemaal niets bij.

Allereerst, goede reactie waar je een aantal zeer belangrijke punten belicht. Toch kan ik het niet laten om op een aantal punten in te gaan en wat extra context te schetsen

Maar, na al het pedante gezeur, ik geloof de uitkomst helemaal. De grote meerderheid wordt niet gemel en dat is schadelijk.

Het is wel goed om in ons achterhoofd te houden dat dit om een Europees onderzoek gaat. Zeker in Nederland weet ik dat er daadwerkelijk wel veel gemeld wordt als het gaat om ransomware aanvallen. Daarbij is er natuurlijk een onderscheid te maken tussen melden bij de Autoriteit Persoonsgegevens (wat wettelijk verplicht is bij een ransomware aanval, want; data is sowieso ingezien, dan wel onbeschikbaar gemaakt, vernietigd of zelfs ontvreemd), of een aangifte bij de politie. Hoewel de melding bij de AP in de meeste gevallen echt wel gedaan wordt, geloof ik wel dat een aangifte bij de politie minder snel gebeurt.

Ik las in sommige comments al dat het geen zin heeft om aangifte te doen, want de politie doet er niks mee of snapt zelfs al niet hoe de aangifte opgenomen dient te worden. Dit klopt ook en heeft een fundamenteler probleem, namelijk dat het werkgebied van de politie in Nederland geografisch is verdeeld in regionale eenheden (die weer samen vallen met de justitiële arrondissementen). Op zich werkt dit goed voor normale criminaliteit (die fysiek plaatsvindt op een bepaalde locatie), maar dit werkt wat minder goed voor digitale criminaliteit. Een aangifte voor ransomware aanval, vindt normaal gesproken plaats op het politiebureau in de plaats waar de hoofdvestiging van het bedrijf/slachtoffer zit. Dit betekent dat degene die op dat moment de aangiftes opneemt, maar moet snappen hoe cyberaanvallen werken en hoe zo'n specifieke aangifte opgenomen dient te worden. De politie is heel hard bezig om dit aan te pakken, en zou wellicht het liefst een centraal meldpunt hebben voor zulke aangiftes zodat de juiste expertise aangehaakt kan worden. Maar ook daar lopen ze tegen bureaucratie en regelgeving aan.

Wel is het zo dat als er ooit een zaak tegen zulke cybercriminelen gemaakt kan worden, de politie wel aangiftes nodig heeft. Het liefst zo veel mogelijk. Niet alleen is hun zaak dan sterker, maar ook hebben ze meer data wat wellicht kan leiden tot meer inbeslagnames van bijvoorbeeld servers. En hoewel het niet vaak zal voorkomen, bestaat er een kleine kans dat de politie wel daadwerkelijk direct resultaat kan leveren (zie bijvoorbeeld in het geval van Universiteit Maastricht).

Alleen al omdat er dan geen kennis gedeeeld kan worden en het volgende slachtoffer er ook weer alleen voor staat.

Kennisdeling is inderdaad enorm belangrijk bij de strijd tegen cybercriminaliteit. Daarom is het juist zaak dat die aangiftes wel gedaan worden. Zo helpen we elkaar om beter te snappen hoe deze criminelen te werk gaan en kunnen we ons beter weren (en beter detecteren) op de Indicators of Compromise (IoC's), om er bij dit soort aanvallen op tijd bij te kunnen zijn. Gelukkig zijn er steeds meer publiek-private samenwerkingen (in Nederland) die juist dit proberen te bereiken, en daar inmiddels ook redelijk goed in beginnen te slagen. Sowieso merk ik dat er binnen de beveiligingswereld juist enorm veel gedeeld wordt, omdat iedereen snapt dat dit gezamenlijk aangepakt dient te worden en het geen zin heeft om IoC's maar voor jezelf te houden.

Dan is het er nog het aspect dat beveiligingsbedrijven hun werk ook graag stil houden. Iedere succesvolle aanval is namelijk ook een mislukking van de bescherming. Daarbij hebben commerciele beveiligers er voordeel bij om geheim te houden wat ze precies doen als concurrentiegevoelige informatie. We zouden dit soort informatie juist breed moeten delen zodat we ons kunnen verdedigen.

Er is hier denk ik wel een nuanceverschil tussen leveranciers van beveiligingssoftware en bedrijven die daadwerkelijk hun klanten monitoren met behulp van zulke software, log collectors en sensoren. Je hebt zeker een punt dat het voor zulke bedrijven reputatieschade op kan leveren wanneer zij een omgeving monitoren die toch geraakt wordt door bijvoorbeeld een ransomware aanval. Wel is het vaker zo dat een slachtoffer van een ransomware aanval vaak al geen gemonitorde omgeving heeft. In veel gevallen is er wel daadwerkelijk een antivirus product aanwezig om de systemen, maar wordt er vervolgens geen opvolging aan alarmen gegeven. Bij de ransomware groeperingen zul je vaker zien dat ze eerder door gaan naar een volgend slachtoffer (waarbij de beveiliging minder op orde is) dan dat ze enorm veel moeite gaan steken in het omzeilen van een goed beveiligde en gemonitorde omgeving. Als het goed is, wordt er in zulke omgevingen ook al snel gereageerd natuurlijk waarbij de initiële aanvalsvector al wordt opgemerkt en gemitigeerd

Wat doe je er tegen? MFA & offline backups zijn momenteel de twee punten die je aandacht het meest nodig hebben.

Dit is absoluut waar. Zorg dat je MFA hebt ingeregeld op alle manieren om vanaf de buitenwereld je interne omgeving(en) te benaderen. Daarnaast is het inderdaad zaak om goede (offline) backups te hebben, het liefst volgens de 3-2-1 strategie. En nog belangrijker, test deze backups regelmatig. Let bij het implementeren van een backup oplossing ook vooral op de tijd dat het kost om je volledige omgeving te restoren. Vaak is een oplossing best goed en snel met het maken van de daadwerkelijke backups, maar wanneer ineens de hele omgeving (na een ransomware aanval) teruggezet dient te worden, blijkt dit een stuk lastiger en vooral langzamer te zijn dan gedacht.

Zorg daarnaast ook even dat je firewall goed geconfigureerd is en er geen systemen van buitenaf benaderbaar zijn waarbij dat niet zo moeten. Voor de systemen die wel van buitenaf benaderbaar moeten zijn, zorg dat de firewall regels zo restrictief mogelijk zijn en, niet onbelangrijk, zorg dat deze systemen (en software daarop) up-to-date zijn. Veel ransomware aanvallen gebeuren nog altijd door een kwetsbaarheid in bepaalde systemen of software.

Veel verzekeringen tegen ransomware zijn bijna net zo schandalig als waar ze tegen proberen te beschermen. Ze beschermen namelijk niet maar betalen alleen een klein stukje van de kosten en lang niet alles. Meestal zit er een vrije lage limiet aan wat ze uitkeren die niet genoeg is om alle schade te herstellen. Wat ze al helemaal niet doen is je bedrijf beschermen of helpen met terugvechten. Dat doen ze niet, het advies is altijd om te betalen. Sterker nog, als je niet direct op de knietjes gaat en betaalt dan loop je het risico dat je verzekering niet uitkeert omdat ze vinden dat je het probleem groter hebt gemaakt.
Als ze wel uitkeren is dat meestal alleen een bijdrage in het losgeld, alle bijkomende schade draai je zelf voor op.

Ik ben benieuwd naar jouw ervaringen hiermee. In mijn ervaring, is dit echt niet het geval. Vooral in het begin, toen verzekeraars net met een cyber polis op de markt kwamen, waren de premies (in verhouding) erg laag en werd er veel gedekt. Veel verzekeraars wisten ook niet waar ze aan begonnen, en probeerde vooral zo veel mogelijk marktaandeel te krijgen omdat ze deze data nodig hebben om hun polis op af te stemmen (zonder data weten ze dit eigenlijk niet goed). Veel verzekeraars werken met preferred suppliers die hun verzerkerde helpen bij bijvoorbeeld ransomware aanvallen. Deze kosten worden in vrijwel alle gevallen gedekt, evenals de kosten van IT partijen/leveranciers die bij het herstel betrokken zijn. Daarnaast wordt in veel gevallen inderdaad ook het betaalde losgeld gedekt. Wel doen verzekeraars steeds meer moeite om te zorgen dat dit opweegt tegen alle alternatieve opties, en nemen dit ook mee in hun beoordeling of dit daadwerkelijk gedekt wordt. Het is zeker niet zo dat ze zeggen, 'betaal het losgeld gewoon maar'. Verder zijn er ook veel verzekeraars die directe schades door productiestilstand, het niet halen van SLA's of boetes voor het niet nakomen van leveringen uiteindelijk ook vergoeden en zelfs indirecte reputatieschade wordt soms meegenomen (alhoewel dat natuurlijk altijd lastig blijft).

Een verzerking is geen bescherming. Een verzekering dekt je schade niet. Voorkomen is beter dan genezen, genezen is beter dan verzekeren, zelf betalen is beter dan verzekeren. Neem geen verzekering die minder uitkeert dan het maximale bedrag wat je zelf kan dragen.

Een verzekering is inderdaad zeker geen bescherming. Wel dekt een verzekering veel schade's. Voorkomen is natuurlijk het allerbeste, maar 100% veilig bestaat helaas niet in deze wereld. Daarom is het voor veel bedrijven wel fijn om een verzekering te hebben, net zoals je dat doet voor de rest van je inboedel. Vergelijk goed verschillende aanbieders en duik de polissen in voordat je een keuze maakt voor een cyberverzekering, want er zijn inderdaad veel verschillen en zaken die juist wel of niet gedekt worden.

Typisch zijn die verzekeringen niet goedkoop en kun je voor dat geld ook een paar gespecialiseerde werknemers inhuren om jezelf te beschermen (bv met backups). Volgens mij is dat een betere manier om je geld in te zetten.

Overigens denk ik dat verzekeringen wel iets bij kunnen dragen maar dan moeten uitkeerlimieten fors omhoog en er moet betaald worden voor alle onkosten, niet alleen het losgeld. In die situatie gaan verzekeringen eisen stellen, bv dat je goede backups hebt. Daar zouden we iets mee kunnen bereiken.

Een bedrijf moet zeker investeren in een goede basisveiligheid, wat bij veel bedrijven helaas nog ontbreekt. Om die reden moet je inderdaad geen verzekering gaan nemen, deze moet additioneel zijn. Daarnaast, moet een verzekering inderdaad betere eisen gaan stellen voor het afsluiten van de verzekering. Tot nu toe is dat vaak een vragenlijst die de verzerkerde in moet vullen. Hierbij wordt er in de meeste gevallen niets getest of getoetst (zoals bijvoorbeeld een restore van backups). Wanneer verzekeraars dit beter gaan doen, eisen ze ook een betere basisweerbaarheid van hun klanten.

Verder helpen verzekeraars wel met het inschakelen van de juiste partijen en expertise voor hun klanten wanneer zij het slachtoffer zijn van bijvoorbeeld een ransomware aanval. Zo zijn slachtoffers weer sneller en veiliger 'back in business'. Tevens stimuleren verzekeraars het melden van deze aanvallen. Een verzekeraar zorgt er echt wel voor dat er melding bij de AP wordt gedaan en kan eisen dat er een aangifte gedaan wordt voordat zij überhaupt uit gaan keren (hetzelfde als wanneer bijvoorbeeld je auto gejat wordt).

Cyberverzekeringen kunnen wel degelijk nut hebben. Maar je moet wel van goede huize komen om de kleine lettertjes de baas te zijn.

Ik denk dat iedereen dit zelf al jaren kon bedenken. Melden heeft geen voordelen voor de getroffen instantie, want je wordt toch niet geholpen, maar wel nadelen zoals reputatieverlies. Politie heeft nergens tijd meer voor en weinig expertise. Als het dan ook nog niet strafbaar is om het stil te houden, waarom zou iemand dan de moeite nemen om dit te melden?

Melden heeft geen voordelen voor de getroffen instantie, want je wordt toch niet geholpen, maar wel nadelen zoals reputatieverlies.

Niet melden heeft wel nadelen mocht men er achter komen; een ransomware infectie kan worden geclassificeerd als datalek. Dat is iets wat veel mensen zich niet realiseren. Het is niet alleen een datalek wanneer iemand onbevoegd toegang heeft gekregen:

Bij een datalek gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens. Maar ook om het ongewenst vernietigen, verliezen, wijzigen en verstrekken van persoonsgegevens. Ook hierdoor kunnen de betrokken personen namelijk schade leiden.

Hier vindt de autoriteit doorgaans ook wat van. Niet melden kan tot (hoge) boetes leiden.

Zeker, maar zonder hier onderzoek naar gedaan te hebben, vermoed ik dat dit risico in de praktijk laag is, om altijd weer dezelfde reden: De politie is zwaar onderbezet en heeft weinig personeel wat hier kaas van gegeten heeft.

Dit komt weer voort uit het enorme contrast tussen het budget van de politie ten opzichte van de gestelde taken. Steeds meer tijd gaat naar de ‘high impact crimes’ en de rest blijft liggen.

Dit. Ik heb aangifte gedaan voor een klant, het was een treurige ervaring. Kastje naar de muur, uiteindelijk naar het hoofdbureau gegaan, papierwinkel, handtekening onder aangifte etc. Maand later: brief van de officier van justitie. Druk, we doen niks.

Als je het allemaal meldt, wat dan? Krijg je dan financiële compensatie van de overheid? Voor niets gaat de zon op.

Krijg je dan financiële compensatie van de overheid?

Eindeloos formuliertjes invullen en bemoeizucht.
Kost alleen dus.

Dan krijgt het ook geen aandacht, is de perceptie dat het probleem veel minder groot is dan het in werkelijkheid is en worden er vanuit de overheid ook veel minder stappen gezet om het probleem aan te pakken.

Zeker is dat goed! Maar ik snap dan nog steeds niet wat de overheid exact moet doen. Gaan ze op overheidskosten een mannetje in een bedrijf plaatsen die aangevallen wordt/is? Dat mannetje moet alsnog door dat bedrijf betaald worden.

Een onderzoek met mitsen, maren en alsen zo te lezen. Kreten als "topje van de ijsberg" vermoedens.

Praktisch bekeken, als je bedrijf plat ligt door ransomware lijkt de eerste prioriteit het weer opstarten van je bedrijf. Kan me goed voorstellen dat je een deskundige inhuurt of een cybersecurity bedrijf voor praktische hulp. Meldingen aan instanties, die het voor statistiek gebruiken, nauwelijks hulp bieden, lijkt me iets voor latere zorg.

De olifant in de kamer lijkt me dat aanvallers nauwelijks aangepakt worden, er valt geld te verdienen anders vielen ze niet aan. Met zeeën van tijd om g aan de virtuele sloten te rammelen van de aangeslotenen op internet.

Enisa zou beter eens praten met externe IT beveiligingsbedrijven, elk groot bedrijf dat een aanval heeft/had neemt externe consultants voor een volledige doorlichting van het netwerk en apparaten, als er nu betaald wordt of niet.

In 37,88 procent van de gevallen werden op een later moment alsnog gegevens gedeeld op internet die bij de aanval werden gestolen. "Daaruit kunnen we concluderen dat 61,12 procent van alle bedrijven tot een overeenkomst is gekomen met de aanvallers of een andere oplossing heeft gevonden

En de overige 1% ?

Tja, als de juristen dat adviseren.

Twee jaar gelden gehackt. Aangifte etc, nooit meer iets gehoord. Ze hadden geen flauw benul.
Netjes datalekje genmeld. En betaald ja, ism een specialist...