CBS: zzp'ers zijn het vaakst doelwit van ransomware, maar betalen vrijwel nooit

In 2021 zijn ruim 6000 Nederlandse bedrijven slachtoffer geworden van ransomware, meldt het CBS. Absoluut gezien was ongeveer twee derde van de slachtoffers zzp'er, maar eenmanszaken betalen vrijwel nooit het losgeld.

In de Cybersecuritymonitor 2022 concludeert het Centraal Bureau voor Statistiek dat zo'n 4 procent van alle grote bedrijven met meer dan 250 werknemers in 2021 te maken heeft gehad met een ransomwareaanval. Daarvan zou dan weer grofweg 4 procent daadwerkelijk de cybercriminelen hebben betaald.

Bedrijven met 2 tot 10 werknemers betalen relatief het vaakst; in 14 procent van de gevallen zou een door ransomware getroffen bedrijf in deze categorie betalen. In meer dan de helft van deze gevallen betaalt zo'n bedrijf dan ook nog eens meer dan de helft van zijn jaaromzet. Het CBS benadrukt dat het betalen van cybercriminelen overigens lang niet altijd het gewenste resultaat heeft; in meer dan de helft van de gevallen werden de versleutelde gegevens na betaling niet of slechts gedeeltelijk vrijgegeven door de criminelen.

Hoewel zzp'ers absoluut gezien verreweg het vaakst getroffen worden door ransomware, lijkt deze doelgroep juist niet relevant te zijn voor criminelen. Zzp'ers blijken volgens het CBS namelijk nagenoeg nooit losgeld te betalen.

Het statistiekenbureau benadrukt dat bedrijven naast directe kosten vaak nog extra kosten maken na een ransomwareaanval, bijvoorbeeld omdat ict-systemen vervangen moeten worden of omdat specialisten ingehuurd moeten worden.

Het goede nieuws is dat het aantal ict-veiligheidsincidenten absoluut gezien steevast afneemt, blijkt uit de Cybersecuritymonitor 2022. Vergeleken met de afgelopen jaren nam het aantal incidenten af voor bedrijven van vrijwel alle grootten. Dat geldt zowel voor het aantal incidenten met een interne oorzaak als voor aanvallen van buitenaf. Alleen het aantal incidenten met een interne oorzaak bij bedrijven met meer dan 250 werknemers steeg een klein beetje vergeleken met vorig jaar. Ook was het aantal aanvallen van buitenaf iets hoger of gelijk aan de statistieken van 2019 voor bedrijven vanaf 10 werknemers en groter, maar in alle gevallen lager dan in 2020.

Reacties (225)

[Anoniem: 111246]

De systemen die geraakt zijn door ransomware, waren dat laptops, traditionele servers of nas systemen?
Sowieso iets zonder gedegen security toepassing of end users die niet bewust genoeg zijn van de risico's?

Of waren het toch ook zaken als SharePoint, andere online services, etc?
Ik verwacht eigenlijk dat een zzp of kleine ondernemer logisch gezien alleen een laptop/desktop zou hebben en zijn data in zoiets als SharePoint zou hebben staan in O365.

Ransomware kan je data op SharePoint lastiger locken lijkt mij dan files op een server/laptop?

Format de laptop en log opnieuw in en je kunt weer door?

Of denk ik te klein?

[djexplo]

Microsoft zeg zelf over Sharepoint/Office365:

If the ransomware created a new encrypted copy of the file, and deleted the old file, customers have 93 days to restore it from the recycle bin

Dus ja in dat opzichte is het voor de gemiddelde ZZP'ers een hele veilige (maar dure) optie.

[singingbird]

Maar die recycle bin kan je zelf toch ook legen? Waarom zou een ransomware dat dan niet kunnen?

[djexplo]

Goed punt, maar daar is de volgende oplossing voor:

unless someone deletes them from there or empties that Recycle Bin. In that case, the items go to the site collection Recycle Bin, also known as the second-stage Recycle Bin, where they stay for the remainder of their retention period

[Bor]

En ook die kan geleegd met bijvoorbeeld powershell of by human operated ransomware manueel

Delete items from the site collection recycle bin

[Reactie gewijzigd door Bor op 23 juli 2024 16:33]

[djexplo]

Goed punt, maar daar is de volgende oplossing voor:

SharePoint Online retains backups of all content for 14 additional days beyond actual deletion. If content can't be restored via the Recycle Bin or Files Restore, an administrator can contact Microsoft Support to request a restore any time inside the 14-day window.

[Bor]

En daarom houd een aanvaller soms data nog langere tijd beschikbaar voor de encryptie sleutel weg te gooien. Daarbij is bijvoorbeeld 14 dagen productiedata verliezen voor veel bedrijven ook een zeer groot issue met financiële impact. Om er zeker voor te zijn dat er alsnog betaald gaat worden steelt men steeds vaker ook data en dreigt men met openbaring wanneer gekozen wordt om niet te betalen. Technische oplossingen zoals backups kunnen maar een deel ondervangen.

[Anoniem: 1322]

Technische oplossingen zoals backups kunnen maar een deel ondervangen.
Beveiliging breng je aan in lagen, zoals @djexplo heb je in moderne werkplek oplossingen al meerdere beveiligingslagen ingebouwd.

Dit is ook nog naast alle detectie en recovery mogelijkheden die een cloud oplossing biedt (zoals het detecteren, waarschuwen en met 1 klik terugzetten van al je OneDrive bestanden bij een aanval). Neem daar nog de standaard 3-2-1 backup regel bij in mee en je bent echt wel goed beschermt. het is echter een doorlopende actie en je moet het iedere paar maanden opnieuw evalueren.

[Niels1232]

14 dagen, dan kun je vaarwel zeggen tegen je data, Microsoft 365 support reageert meestal niet binnen die tijd is mijn ervaring

[MilanSxD]

Voor bedrijven wel.
Die hebben een eigen support afdeling die speciaal gericht is op dit soort incidenten.
Wanneer ik via het werk een ticket aanmaak bij microsoft wordt ik diezelfde dag nog gebeld.
Al meestal wel na mijn werktijd wat wel vervelend is, zijn allemaal Indiërs dus die bellen op de meest goddeloze tijden.

[Niels1232]

Persoonlijk ervaring genoeg met de "zakelijke" support van Microsoft, maar dan nog zijn de responsetijden vaak ronduit beroert en zullen ze zelden/nooit toegeven da thet een issue bij Microsoft is (leuk voorbeeld was een microsoft mailserver op een global blacklist). Of je plant een teams call op tijdstip X en vervolgens komen ze niet opdagen. Of ze proberen je te bellen buiten werktijd. De langstlopende tickets waren ook ALTIJD degene waar Microsoft support bij betrokken was...........

[MilanSxD]

Dat is wel waar... bij mij bellen ze wel dezelfde dag nog, maar meestal buiten werktijd.
Komt echter vrij weinig een oplossing vanuit Microsoft.
Heb zelf ook een hekel aan Microsoft Support.
Helaas krijg je er mee te maken als het probleem toch echt bij Microsoft zit.
En dan kun je eigenlijk alleen maar doordrammen tot het 4 keer is geëscaleerd naar de persoon die er wel verstand van heeft.

[Tweakert2020]

Wat is duur? Vanaf een 10tje per maand per gebruiker zijn er abonnementen.

[Zomborro]

Eens, je hebt al een business abo voor 5,60 per maand (excl): https://www.microsoft.com...?market=nl#heading-ocb6f5

[RoccoS]

Je kan een SharePoint file library ook volledig restoren naar een eerdere datum. Idem met OneDrive.

[Antiloop]

Veel kans geen of slechte security inderdaad, en veel zzpers zijn (denk ik) gewoon uren machines dus die balen dan misschien dat hun excel factuurtje weg is, en hebben veel minder vaak archieven vol met informatie en bergen documentatie of eigen producten

[WillySis]

Veel zzp-ers hebben maar een beperkte administratie. Zeker de zzp-ers die steeds langere tijd (maanden) voor één opdrachtgever werken. Alle gegevens zijn dan ook wel bij de opdrachtgevers teruggehaald worden.
zzp-ers die wel veel opdrachten hebben, hebben meestal veel mailcontact met de opdrachtgevers. De mail staat meestal op een externe server die buiten de aanval blijft. Daaruit is vaak ruim 90% of meer van de hele administratie terug te halen. De rest kan men meestal via de bankgegevens terug halen.
Het is dat je de administratie een aantal jaar moet bewaren, maar voor dagelijks gebruik zijn vooral de laatste paar maanden belangrijk. De rest zoek je dan later wel eens terug (als daarom gevraagd word).

Wie met een administratie kantoor werkt heeft eigenlijk nauwelijks schade.

[wildhagen]

Ransomware kan je data op SharePoint lastiger locken lijkt mij dan files op een server/laptop?

Als je die sharepoint data via een drivemapping hebt gekoppeld op je laptop/werkplek, kan ransomware die alsnog locken. Veel (niet alle) ransomware gaat namelijk niet alleen de lokale disk langs, maar ook alle gekoppelde netwerkschijven.

[roccothehelper]

Ze zouden eigenlijk vanuit de overheid moeten verplichten dat bedrijven een echte backup hebben van hun data. Dat maakt het in dit soort gevallen ook wel een stuk makkelijker. "Gewoon" de backup terug zetten en die backup desinfecteren. De ransomware kan natuurlijk al langer aanwezig zijn.

Natuurlijk is dit niet zo makkelijk als "gewoon terug zetten". Maar altijd beter dan betalen.

[litebyte]

Ik denk dat de meerderheid van zzpers ook zeker (gedeeltelijke) backups heeft maar vaak niet van alles en vaak niet recent.

Vanuit de overheid zouden ze een hoop moeten doen, maar zelf schieten ze 'nogwel eens' tekort in zowel preventie maar zeker ook in opsporing en vervolging. Ik zou zeggen ga daar eerst eens aan werken.

Het is het 'maar waarom loop je dan ook in het donker op straat? ' cultuur in Nederland... De slachtoffers van misdrijven een soort van schuldgevoel aan te praten om de incompetentie van verantwoordelijken die moeten zorgen voor leefbaarheid en veiligheid te verbloemen, dat geldt ook voor het digitale domein

[edwinjm]

Het is de afschuifcultuur in Nederland... Zelf geen verantwoordelijkheid nemen en de overheid moet alles maar oplossen. Waarom moet de overheid ervoor opdraaien als een ondernemer het vertikt een (meestal gratis) securityupdate uit te voeren?

Waar denk je dat dit rapport vandaan komt? En heb je wel eens gehoord van het Nationaal Cyber Security Centrum (NCSC)? De overheid doet al een hoop.

[litebyte]

De afschuifcultuur is er feitelijk niet, je moet wel heel naief zijn in Nederland om nu nog te denken dat de overheid alles voor je oplost, overheidsbreed, zeker met de afbraak van veel overheidsdiensten mbt capaciteit (lees bezuinigingen) is juist het algemeen beeld van overheden dat het eerder onoplosbaar is voor de overheid - dat zie je ook terug in het lage vertrouwen van veel overheidsdiensten. Met name bij het doen van aangiftes - 'het heeft toch geen nut.' Het aantal werkelijke slachtoffers kan dus wel eens veel groter zijn.

Met name bij digitale criminaliteit (ook wel bekend onder de 'spannende naam' cybercrime), politie/justitie kan het aantal aangiftes en benodigde inzet al een paar jaar niet meer aan door de enorme stijging.

[Haruhi]

In dit geval ben ik het met je eens.
Maar gezien de Belasting druk, mag de overheid van mij heel veel oplossen.

[Aldy]

Belastingdruk? De belasting is om de de overheidsuitgaven te bekostigen en als je alle problemen overziet die betaald moeten worden door de overheid denk ik dat het beslist niet de taak is van de overheid om jouw securityproblemen op te lossen. Zeker als je bedenkt dat ze al zoveel adviezen geven. Ben je ooit op de site van de eerder al genoemde NCSC geweest en zo ja, heb je de adviezen ter harte genomen?

[kabelmannetje]

De overheid moet jou aan je handje houden hoe je een gezonde backup -strategie bepaalt? En mag deskundigen betalen als je getroffen wordt? En moet financieel bijstaan als je losgeld betaald? En mag financieel schade oplossen als je daardoor omzet mist?

Zo moeilijk is het niet. Als ZZP gewoon in de cloud de zaken bijhouden, alles opgelost.

[laptopleon]

Cloud ≠ backup

[kabelmannetje]

Cloud == backup. Een beetje cloudaanbieder maakt gewoon backups .

[laptopleon]

Dit artikel gaat over randsomware. Als je pakweg Dropbox of iCloud gebruikt worden al je Dropbox / iCloud bestanden net zo hard gegijzeld als de rest.

[kabelmannetje]

Het lijkt mij sterk dat applicaties die in de cloud werken, regelmatig gegijzeld worden.

Jij hebt het over online backups, ik over werken in de cloud. De kans dat deze ransomware bijvoorbeeld Google One treft, lijkt mij persoonlijk vrij klein.

[laptopleon]

De makkelijkste manier om (ook) op een desktop cloudopslag te gebruiken, is door de bijbehorende desktop applicatie te installeren.

De cloudopslag krijgt dan op je computer de vorm van een folder in Windows / macOS / Linux. Veel handiger dan dat je je bestanden in een browserventer moet sleuren of zo.

Maar een virus dat bij de bestanden op je desktop kan, kan dan ook bij je Google Drive, iCloud, Dropbox etc.

Het is juist een bekende tactiek van ransomware om eerst je bestanden te versleutelen en dagen, zo niet weken of maanden te wachten voor er losgeld gevraagd wordt. Want veel bedrijven hebben maar een backup van een week of maand en die bestanden zijn dan ook al versleuteld.

Intussen merk je niets omdat bij het openen van een bestand, dat meteen weer wordt ontsleuteld door de malware. Tot het 'afgaat'.

Dit maakt het een stuk lastiger om een goede backup te maken of eigenlijk gewoon nutteloos als het om dit type ransomware gaat.

[kabelmannetje]

Het lijkt mij heel erg sterk dat ransomware op een computer, bijvoorbeeld de webapplicaties op Google Drive, Microsoft 360 of van online van Exact, kan infecteren.

[laptopleon]

Je bedoelt de software op de server van Microsoft, Exact etc. Maar uiteindelijk gaat het toch om je eigen bestanden? Dropbox etc kun je gewoon opnieuw installeren maar je administratie en je familiefoto's, die moet je zelf veiligstellen. Daar kan malware gewoon bij via de desktop applicaties van Dropbox etc.

[kabelmannetje]

Nee, opnieuw. Werken in de cloud voor belangrijke critische zaken. Je maakt mij niet wijs dat een computer met ransomware, een webserver van bijvoorbeeld Google kan gijzelen.

Verder hebben familiefotos weinig te maken met ZZP'en. Dat zijn persoonlijke data.

[sjepper]

en daarbij heb je dus bij een beetje clouddienst een retentie van zeg 30 dagen, zodat mocht je een fout maken, aanpassing ect. Je kan rerollen naar een oudere versie van het bestand.

[laptopleon]

cc @kabelmannetje

Een Google 'native file' zoals een Google spreadsheet kun je terugzetten naar een oudere versie en die staat sowieso in feite alleen op de servers van Google, dat klopt, maar eerdere versies van 'andere' (niet-Google Docs) bestanden zoals de pdf's van je boekhouding en je familiefoto's etc worden maar een maand bewaard. Dropbox Basic/Plus/Family gaat ook maar maand terug. Daar heb je dus niets aan als de malware al een maand in je systeem zit.

Soms zijn er nog meer beperkingen, zoals maximaal 100 versies bij Google Drive. Dat is meestal wel genoeg voor waar het voor bedoeld is, een vorige versie terugzetten, maar voor malware is het natuurlijk een koud kunstje om 100x een letter te veranderen en te bewaren en dan ga je alsnog binnen een uur nat. Heb je nog niets aan je maand diepe depository. In ieder geval Google Drive neemt sowieso geen folderstructuren mee in de depository.

Apple iCloud doet het zover ik na kan gaan ook alleen bij documenten van Apple applicaties zoals Pages en Numbers en dergelijke.

Dit is ook niet iets wat ik zelf bedacht heb hè? Elke backup handleiding / specialist zal je uitleggen dat een cloud-synchronisatie geen alternatief voor een backup is.

[kabelmannetje]

Ik hoor geen onderbouwing dat malware op een computer, bestanden van bijvoorbeeld Google Documents of Microsoft 360 kan infecten bij het werken in hun cloud. Beetje sterk verhaal, heb je concrete voorbeelden?

[trabant]

Het is de afschuifcultuur in Nederland... Zelf geen verantwoordelijkheid nemen en de overheid moet alles maar oplossen.

Ik denk eerder dat de huidige overheid alles afschuift of in elk geval vooruit schuift. Waar bij misstanden een duidelijke wet zou helpen, moddert men maar aan met convenanten en gedragscodes 'vanuit de sector zelf', waarvan je tevoren kunt weten dat het niet gaat werken.
Al helpen wetten dan weer niet tegen ransomware…

[Lord Anubis]

Rare praat. Waarom moet ik last hebben van criminelen als de overheid weigert hun taken diepgaand uit te voeren en de criminelen serieus aan te pakken. Nee ze weten iedereen af te tappen, maar dit kunnen ze niet. Hoe vaak krijgen kleine criminele hackers slechts een tik op de vingers terwijl het slachtoffer geen schade vergoeding ontvangt.
Ze moeten van mijn/onze spullen afblijven. Ik ken iemand die een hacker gevonden heeft terwijl de Politie niets eens de moeite nam om het te onderzoeken; hij heeft uiteindelijk de hacker totaal los geslagen.
En de laatste security updates lopen altijd achter de gebeurtenissen aan.

[GekkePrutser]

De meeste ZZP'ers zijn helemaal niet vrijwillig ondernemer maar hebben ZZP'er moeten worden omdat hun werkgever geen zin meer had om voor ziekteverlof, sociale premies en dergelijke te betalen. Bijvoorbeeld de post en pakketbezorgers.

Dus ik kan me ook wel voorstellen dat die geen tijd hebben voor al die administratie.

[Gosse_W]

Maar de ondernemer klaagt al steen en been over al die regeltjes. Wat mij betreft is dit ondernemersrisico. Wil je dat niet, dan ben je vrij om ergens in loondienst te gaan.

[Bor]

Klagen over regels doet niet echt ter zake. Die zijn er niet voor niets. Aan de ene kant heb je misschien een punt met ondernemersrisico maar aan de andere kant worden klanten ook de dupe doordat bijvoorbeeld diensten niet meer of niet meer tijdig geleverd kunnen worden, hun gegevens mogelijk gestolen worden etc.

[onno oliver]

Ondernemers zien het niet als risico.
Ze willen geld verdienen, regeltje die zijn lastig en handhaving is een taal van de Politie.

Enkele weken geleden was ik ergens waar veel ZZPers, MKBers waren.
Backups nee, das lastig sommige doen iets met ergens een Hd met usb waar ze handmatig data naar toe doen als een projectje klaar is. Simpele dagelijkse backups met bv icloud is te duur,

Handhaving en bescherming zien echt ze als taak van de overheid omdat ze belasting genoeg betalen.
De meeste willen bij een Randsom attack niet betalen, de politie moet het maar oplossen samen met de verzekering en lukt dat niet dan vraag ik faillissement aan en dan ben ik van mijn verantwoordelijkheden af.


Nu vraag ik mij af hoe verre dit legaal is als bij een digitale roof klantendata opduikt wie is dan verantwoordelijk?
Het Internet word wel eens vergeleken met het wilde westen maar het MKB Nederland kan er ook wat van.

[supersnathan94]

Ja en dan kunnen ze aanklagen wegens nalatigheid en zo eventuele schade verhalen. We hebben daar al redelijke regels en systemen voor.

Voorkomen is uiteraard beter dan genezen, but what you gonna do about it?

Het enige wat echt zou helpen is een soort append only filesystem. Voor backups dan. Zodat je niet “per ongeluk” zaken kunt overschrijven en dat wijzigingen daadwerkelijk als een extra overlay worden opgeslagen.

[draadloos]

Daar hebben we toch immutable backup voor :-)

[_JGC_]

Immutable backups zijn niet per se immutable. Ik heb dat bij VEEAM gezien, die flag haal je er net zo makkelijk af als dat VEEAM ze erop zet. Moet je wel voor inbreken op de backup infrastructuur (met root rechten), maar daarvoor is die flag juist bedoeld: het beschermen tegen wijzigen of verwijderen van backups door een hack.

[ExtendedCaesar]

Die functionaliteit is vooral bedoeld zodat, als een van je klanten via veeam service provider console zelf wordt grhscked, de backups op jou infra niet kunnen worden aangepast.

Als ze dan de hele on site locatie van je klant hebben overgenomen, zijn de offsites in je veeam cloud immutable en kan de hacker die zooi niet met terugwerkende kracht encrypted of vernietigen.

Daarvoor werkt het prima.

[roccothehelper]

Andere hebben er al wat over gezegd. Maar dit is in mijn optiek een risico voor klanten. Als ik enige vorm van data ergens heb, dan verwacht ik dat dat niet zomaar weg gaat. Als daar dan geen goede backup van is, is er gewoon risico dat het morgen weg is. Zelfs in de cloud!

[hans235]

Waarom zou de overheid mij moeten beschermen tegen ransomware dmv wet en regelgeving. Dat vindt ik veel te ver gaan. En dan gaan we natuurlijk een discussie houden of backup/restore wel de juiste manier is om je te beschermen tegen ransomware of dat je dat moet doen door verplichte trainingen of verplichte software of weer iets anders? Nee, wetgeving hiervoor lijkt mij niet de oplossing…

[roccothehelper]

Dit is meer dat de regering jou verplicht om het zelf op te lossen. De regering zelf regelt niets voor jou

[n4m3l355]

Ik heb het al eens eerder aangegeven maar zakelijk is dat gewoon niet allemaal zo eenvoudig zeker voor kleine bedrijven. Ik heb er zelf 2, eentje met 200 man en de ander met 45 man. De eerste daar heb ik een klein IT team en daar is alles best netjes geregeld al zeg ik het zelf. Het lastige is voor het tweede bedrijf, het is gewoon te klein voor een voltijds beheerder. De kosten voor een ondersteunende functie zoals IT (maar ook juridisch/HR/enz) staan in geen verhouding met onze core, trading. Dus dat is gewoon ondergeschoven. En natuurlijk is dat niet goed, maar dat is makkelijk praten als je constant op de balans zit.

Wettelijk voldoen wij aan alle eisen, ik laat jaarlijks ons auditen door een advocaten bureau gespecialiseerd in data-storage (ik zit niet in Nederland) en dan zorg ik ervoor wat scheef zit dat het door derde wordt opgepakt. Maar desalniettemin als wij geraakt worden door ransomware denk ik dat we best wel een probleem hebben ondanks dat bepaalde producten voor ons in de cloud zitten.

[divvid]

het lastige is voor het tweede bedrijf, het is gewoon te klein voor een voltijds beheerder. De kosten voor een ondersteunende functie zoals IT (maar ook juridisch/HR/enz) staan in geen verhouding met onze core, trading.

maar... dan huur je die service toch gewoon in voor je 'kleine' bedrijf? Zeker in het trading vak zou je beter moeten weten. Downtime kost ook heel veel.
Desnoods huur je je team van het eerste bedrijf in, nog makkelijker aan te sturen ook.

[supersnathan94]

dan huur je die service toch gewoon in

Euhm. Je weet dat inhuur niet per se goedkoper is? Sterker nog. Vaak een stuk duurder omdat die partij juist weer allerlei compliance en governance zaken op orde moet hebben.

Verder is het natuurlijk een kosten/baten/risico analyse. In dit soort gevallen zijn de kosten vaak hoog, de baten niet per se heel duidelijk en het risico relatief laag.

[divvid]

dat weet ik, maar wat wil je dan? Klinkt nu alsof je een 45 man bedrijf willens en wetens zonder HR/ICT/Legal ondersteuning wilt draaien. Bovendien heeft hij al een team rondlopen, die kunnen vast wel bijspringen als de baas dat vraagt, al is het maar tijdelijk. Ook ik heb in het verleden wel eens iets moeten fixen bij een startende zusteronderneming van de toko waar ik destijds werkte.

Draai het om, wat kost het als het mis gaat, kun je dan je bedrijf nog voortzetten of mag je de toko sluiten.

Het gaat natuurlijk niet om alleen ransomware, maar ook juridische aansprakelijkheid bij een fout (data op straat door medewerker), haperende systemen waardoor klanten niet geleverd krijgen, fouten in HR contracten met grote gevolgen (opzegtermijnen van personeelscontracten kunnen zomaar gemist worden, been there done that. Voor zowel werkgever als werknemer niet leuk)

[Reactie gewijzigd door divvid op 23 juli 2024 16:33]

[Aldy]

Lijkt mij ook dat als fulltime niet mogelijk is, één of meer personen van je andere bedrijf parttime voor het kleinere bedrijf te laten werken. Ik denk dat @n4m3l355 dit al doet aangezien hij elk jaar ook een audit laat doen. Daaruit concludeer ik dat het e.e.a. wel op orde is.

[supersnathan94]

dat weet ik, maar wat wil je dan? Klinkt nu alsof je een 45 man bedrijf willens en wetens zonder HR/ICT/Legal ondersteuning wilt draaien.

Ligt er geheel aan wat voor bedrijf je hebt natuurlijk. In de meeste gevallen heb je genoeg aan eventuele ondersteuning, maar geen dedicated personen in dienst.

Met 45 man zit je in een fase waar HR/Legal handig kan zijn, maar als je daar zelf goed in bent is het niet per se nodig. Ik heb bij bedrijven gewerkt die groter waren dan dat en waar de eigenaar dat zelf deed en dat kan prima werken.

Het gaat natuurlijk niet om alleen ransomware, maar ook juridische aansprakelijkheid bij een fout (data op straat door medewerker), haperende systemen waardoor klanten niet geleverd krijgen, fouten in HR contracten met grote gevolgen (opzegtermijnen van personeelscontracten kunnen zomaar gemist worden, been there done that. Voor zowel werkgever als werknemer niet leuk)

Klopt maar daar heb je dan dus de het bedrijf als entiteit mee. Je moet dit gewoon als kosten/baten analyse zien icm ondernemersrisico.

[divvid]

Klopt maar daar heb je dan dus de het bedrijf als entiteit mee. Je moet dit gewoon als kosten/baten analyse zien icm ondernemersrisico.

Nee, daar heb je ook de veel kwetsbaardere werknemer mee. Als de werkgever een fout maakt en daarmee vanuit de wet gezien een contract over laat gaan in een vast contract dan heb je dus een situatie die leuk klinkt, maar het niet is. waarin er ofwel geen werk/geld is voor die werknemer(niet leuk om in zo’n sfeer te zitten), of de werkgever gaat zich in allerlei bochten wringen, vaak met een verziekte sfeer, wil je ook niet, of je staat als werknemer onvoorbereid met lege handen bij een faillissement. Al die posities zijn veel minder gunstig dan bij een tijdige notificatie rustig op zoek kunnen naar een andere baan, met goede backing van de oude werkgever.

[Tweakert2020]

Probleem in wat voor opzicht?

[Bor]

"Gewoon" de backup terug zetten en die backup desinfecteren

Je begrijpt hopelijk dat 'desinfecteren' bij actieve en goed geschreven ransomware niet mogelijk is? Zodra een bestand gecodeerd raakt is het zonder de bijbehorende sleutel verloren. Ook een back-up kan geïnfecteerd zijn.

[singingbird]

Maar een backup voor de activatie van de ransomware is toch nog intact en leesbaar? Bestanden uitlezen zorgt er toch niet voor dat de ransomware ge-execute wordt? Als je weet welke ransomware het is (en dat is waarschijnlijk wel te achterhalen a.d.h.v. de eiser en de encryptie) dan kan je toch je backup ontdoen van je ransomware?

Of is het niet zo simpel?

[mjtdevries]

Als de backup op tape staat en die tape ligt in een kluis dan klopt dat ja.
Maar tegenwoordig staan backups vaak op een disk op een andere lokatie die via een netwerk verbinding bereikbaar is.
Dan is het vaak ook voor ransomware mogelijk om de bestanden van die eerdere backups te benaderen en te encrypten (of verwijderen)

De aanvallers doen bewust moeite om ook backups aan te vallen.

[Bor]

'activatie' is meestal het moment waarop de sleutel wordt weggegooid. De bestanden kunnen dan al gecodeerd zijn. Je kan natuurlijk trug naar een moment voor initiële infectie wanneer je die backups nog hebt maar dat kan een lange tijd dataverlies betekenen. Hoe weet je of de aanvaller vertrokken is uit het netwerk indien daar sprake van is?

[singingbird]

Dus de bestanden zijn al gecodeerd, maar wel toegankelijk vanwege de ransomware in het geheugen? Als dat zo is, dan snap ik inderdaad waarom een backup terugzetten niet werkt (tot nu toe nooit gesnapt waarom dat niet zou werken).

[roccothehelper]

Ik heb het hier over backups niet een sync. Het liefste op een ander type systeem. En in het aller beste geval natuurlijk gescheiden. Maar in de veel gevallen kan je terug naar een punt waar de ransomware wel op de systemen staat, maar nog niet geactiveerd is.

In die state kan je dus nog desinfecteren.

[Bor]

'geactiveerd' is vaak min of meer het weggooien van de encryptie key. De backup kan daardoor ook geïnfecteerd zijn en in het geval van online backups verwijderd of ook geencrypt.

[ELD]

Ze zouden eigenlijk vanuit de overheid moeten verplichten dat bedrijven een echte backup hebben van hun data.

Waarom moet de overheid overal tussen zitten. Dit is gewoon bedrijfsrisico en bedrijven moeten zichzelf beveiligen en verzekeren. Daar heeft de overheid verder niks mee te maken.

[kodak]

Dat slachtoffers een backup hebben is waarom criminelen bij ransomware dreigen met lekken van bijvoorbeeld persoonsgegevens van klanten en bedrijfsgegevens. Je kan dus wel willen dat bedrijven expliciet verplicht worden een backup te hebben, maar dat klinkt ook als aansporen dat het lekken van andermans gegevens dan maar minder belangrijk is dan het eigen risico om het bedrijf draaiende te houden. Daarbij is er al wetgeving die verplicht om genoeg maatregelen tegen verlies van controle over persoonsgegevens en financiele gegevens te nemen, wat meestal al inhoud dat men niet zonder goede backup kan om aan de eisen te voldoen. Het probleem lijkt eerder dat er nauwelijks controle op is. En als die er als is pas nadat het is mis gegaan. De verplichtingen zijn er zo meer om juridisch achteraf recht te doen, niet om problemen te voorkomen.

[Reactie gewijzigd door kodak op 23 juli 2024 16:33]

[roccothehelper]

Je hebt natuurlijk gelijk, vooral in de financial sector. Maar elke druk vanuit de wet zal toch een beetje helpen (hoop ik)

[FONfanatic]

Het probleem lijkt eerder dat er nauwelijks controle op is. En als die er als is pas nadat het is mis gegaan. De verplichtingen zijn er zo meer om juridisch achteraf recht te doen, niet om problemen te voorkomen.

Zoals berucht dictator Stalin ooit zei, "vertrouwen is goed, contrôle is beter", waarop de bevolking in lethargie weg zakte. In ons democratisch rechtssysteem zijn wetten bedoeld om gedrag te sturen, desnoods om via straf. Problemen voorkom je door je aan de regels en hun doel te houden. Maar dat is dus wel je eigen verantwoordelijkheid, zeker als ondernemer.

[darknessblade]

voor een ZZP-er heb je afhankelijk van wat je doet niet meer nodig dan 20TB aan opslag ruimte voor een backup.

[cricque]

Niet ellke zzper of zelfstandig ondernemer hier in België heeft kaas gegeten van IT. Een extern bedrijf inhuren kost dan ook weer veel geld. Daar zit het probleem. Het is ook niet omdat iemand met Excel kan werken dat hij daarvoor iets kent van backups etc. Iemand vast in dienst hebben tsja daar is in veel kleine bedrijven ook het budget niet voor. En voor mijzelf ... kijk ik heb mijn sourcecode. Die staat veilig, en al de rest kan mij eigenlijk "geen hol" schelen wat op mijn pc staat. Alle privé foto's hebben we een backup van en staan ook niet op deze pc. En good luck mijn linux te infecteren !. De windows laptop die ik gebruik als ik les geef (als zzper) kan mij ook geen drol schelen als daar ooit iets opkomt. Die krijgt in de zomer een volledige wipe (ok dat is misschien niet genoeg), maar dat is ook maar wat sourcecode. Voor de rest zal daar niks op gebeuren. Uiteraard ga ik niet zomaar op alles klikken of openen en dergelijke. En veel websites worden op die laptop ook niet bezocht

Het kan, maar dat is niet het doelpubliek. Maar ik ken zo genoeg kleine bedrijven met 2-3 man, bijvoorbeeld een dakwerker, electricien, loodgieter etc. Die hebben daar dus geen kaas van gegeten, gebruiken vrijwel altijd Windows en zijn niet zo thuis met computers. Dat is het doelpubliek van ransonware.

[FONfanatic]

ZZP-ers en MKB-ers kunnen collectief ICT-beveiliging inkopen. Overheden doen dat ook, bij Secured Service Centra.

[cricque]

Yeah right, niemand ligt daar echt wakker van hoor. Genoeg vrienden die zelfstandig zijn of een kmo hebben. Maar meesten niet in de IT sector. Zelfs mensen die ik ken die in de IT sector werken hebben niet veel kaas gegeten van security. En het grootste probleem: dat kost geld en tijd. Het geld is een bedrijfskost uiteraard. Maar de tijd ... dan kan je niet verdienen ondertussen en daar wringt ook dikwijls het schoentje.

[FONfanatic]

Vandaar dat er voorlichtingscampagnes zijn vanuit de Kamer van Koophandel, MKB Nederland en gemeenten. Ik ben het met je eens dat een campagne door -ethische - hackers meer effect zou scoren. Het is ook mijn ervaring toen ik zo'n 15 jaar geleden al wardrivend op bedrijventerreinen groeten via onbeveiligd WiFi achterliet dat dat de boel wakker schudde.

[cricque]

Ja en dan komen we terug op tijd ... wie heeft er tijd voor ? Niemand die ik ken. Wie wil daar tijd voor maken, nog minder mensen. Het enige wat ik nog kan bedenken hier hebben ze zo iets lokaals "vereniging van lokale handelaars van de gemeente) en je kan lid worden (kost 20 euro per jaar) en daar zijn toch wel veel zaken bij aangesloten. Op zoiets zie ik het nog wel. Maarja dat is ook weer geen verplichting om deel te nemen of naar de 2-3 events per jaar te gaan. Ik skip ook zogoed als altijd, want er is altijd wel wat.

En bij velen is het ook meer iets van: als het voorvalt zullen we het oplossen en zolang er niks voorvalt gaan we niks ondernemen. Uiteraard als er dan wel wat voorvalt dan is het alle hens aan denk, en dat verwachten mensen dat je hun gaat helpen in het midden van de nacht etc. Daarom dat ik al jaren (meer dan 15) geen hardware/computers/laptops meer verkoop. Want dan ben jij persoon numero uno die ze bellen.

[FONfanatic]

Hardleerse mensen moet je geen medelijden mee hebben.

Maar ik merk het ook bij mijn tamelijk digibete partner (qua internetsecurity), je hebt er echt je handen aan vol ze uit te leggen hoe hackers aanvallen, wat voorkoombare kwetsbaarheden zijn volgens hun logica. Dus soms doe ik het dan maar even voor ...

[joker1977]

In de meeste gevallen is het toevoegen van extra eisen die de overheid stelt aan mensen geen oplossing voor de problemen. Voor de rest vind ik het volstrekt onnodig dat de overheid er (maar weer) bijgehaald wordt. Zodra je dit de overheid laat doen dan moet het ook afgedwongen worden, controles, audits, ambtenaren extra etc etc.

En waarom? Wat is de toegevoegde waarde van die "echte backup" voor mensen die niet betrokken zijn bij de ZZP'er en/of bedrijf? Waarom moet dit dan verplicht worden? Dat voegt toch helemaal niks toe aan de maatschappij behalve weer meer overheidsbemoeienis ?

[genosis]

Hoeveel data heeft de gemiddelde ZZP'er, buiten de IT'ers dan? Documenten/bestanden worden vaak gedeeld met klanten of bedrijven, dus die staan dan al "veilig" op een andere plek. Het vervelende is dat je al je lopende zaken kwijt bent, maar voor de meeste dingen is het denkwerk dan al gedaan.

Als je dan 2 weken werk kwijt bent is het goedkoper alles opnieuw te doen in plaats van te betalen waarschijnlijk.

[jj71]

Ze zouden eigenlijk vanuit de overheid moeten verplichten dat bedrijven een echte backup hebben van hun data.

Hoe zou dat afgedwongen moeten worden? Komt er dan iemand controleren of je wel een "echte backup" hebt? En wat is precies een "echte backup"? En krijg je een boete als je die niet hebt? Is er een publiek belang bij, wie zou deze wetgeving beschermen?

[Reactie gewijzigd door jj71 op 23 juli 2024 16:33]

[BI-Forcer]

Ik vraag me af hoe veilig die cloud (OneDrive / Icloud) is. Uiteindelijk ook een documenten map op je laptop. Die wordt dan toch ook gewoon mee encrypted ? Dan mag je hopen dat je nog naar een versie van X maanden geleden terugkan ? Ik ben zelf ZZP'er met ongev. 60Gb aan knowledgebase, projectdocumentatie en administratie op m'n OneDrive. Die zip ik elk kwartaal en gaat als snapshot op een externe HD en dan de kluis in (4 jaar historie). Verder op de Synology cloudsync voor onedrive en die loopt naar C2 backup met 1 jaar retentie. Voor als alles affikt of wordt gejat.

[RoccoS]

Je kan je volledige OneDrive map restoren naar een eerder tijdstip, idem met SharePoint file libraries. Overigens is het altijd verstandig regelmatig een extra backup maken.

[Hann1BaL]

Microsoft ziet wanneer er ineens veel meer bestanden dan verwacht worden gewijzigd (encrypt) en blokkeert dan de verdere wijziging. Dit is waarom het veiliger is.

Ja, het klopt dat de encrypted files gesynchroniseerd worden, maar dan stopt dat heel snel en blijven je meeste bestanden intact.

Maar SharePoint/Onedrive zijn geen backup en jij hebt het goed voor elkaar door een offline backup te bewaren

[Admiral Freebee]

Ik verwacht dat Onedrive nog een tijd een oude kopie bijhoudt en een waarschuwing uitstuurt als er te veel wijzigingen gebeuren in korte tijd. Hoewel ransomware ook slimmer wordt en soms lang sluimert of traag bestanden gaat versleutelen zodat het minder snel opvalt.

[GF187um]

100% veiligheid zal ook nooit te garanderen zijn. Maar als bedrijven allemaal unaniem besluiten om geen losgeld meer te betalen, dan zouden deze aanvallen toch binnen een mum van tijd stoppen? Het zou de overheid sieren om bedrijven die zulke aanvallen krijgen bij te staan en hulp te geven in de vorm van informatie en IT-diensten. Misschien denk ik er wel veel te makkelijk over, maar zolang mensen blijven betalen dan blijft dit gebeuren.

[wildhagen]

100% veiligheid zal ook nooit te garanderen zijn. Maar als bedrijven allemaal unaniem besluiten om geen losgeld meer te betalen, dan zouden deze aanvallen toch binnen een mum van tijd stoppen?

Als het genoeg oplevert zal het altijd blijven gebeuren. Neem je de inkomsten weg, waarom zouden ze dan nog een aanval doen? Dan zal het op zijn minst héél fors afnemen, hoewel je er nooit helemaal van af zult komt.

Helaas wordt er nog té vaak betaald, vaak zelfs vele miljoenen:

- nieuws: Universiteit Maastricht betaalde 197.000 euro losgeld voor ransomware...
- nieuws: 'Colonial Pipeline betaalde bijna 5 miljoen dollar losgeld aan hackers'
- nieuws: Wereldwijde vleesverwerker betaalde 11 miljoen dollar losgeld voor ra...
- nieuws: 'Garmin heeft miljoenen dollars aan ransomwarelosgeld betaald via tus...

Het advies van de FBI is soms ook ronduit: 'betaal maar gewoon': nieuws: FBI-afdeling adviseert bedrijven regelmatig om ransomware-losgeld te ...

Het is dus een lucratief businessmodel voor criminele bendes: een aanval is relatief eenvoudig, de pakkans is relatief laag, en veel bedrijven betalen toch wel.

[GF187um]

Als je weet dat dit kan gebeuren, wat weerhoudt de aanvallers ervan om het nogmaals te doen? Ik begrijp dat het niet meewerken hieraan ongelooflijk veel tijd en geld zal kosten. Maar waarom zouden ze dit over 5 jaar niet nogmaals doen?

De universiteit Maastricht bijvoorbeeld geeft zelf aan allemaal verouderde software te hebben, zelf voor hun online backups te zorgen, dat zal even veranderen na de aanval maar over een paar jaar is dat weer hetzelfde. Waarom worden backups niet offline gedaan zodat je in ieder geval zekerheid hebt?

Het zou een mooie ontwikkeling zijn als er bedrijven zouden zijn die dit soort veiligheiden zouden optimaliseren, met bijvoorbeeld een directe backup die altijd klaar is om het over te nemen, in geval van dit soort situaties. Kost misschien wel wat maar tegenwoordig wordt alles digitaal gedaan. Ik kan er met mijn hoofd niet bij dat zulke grote instanties en bedrijven geen maatregelen daartegen nemen.

[friket]

Als jij niet betaald voor je data is er iemand anders die wel wil betalen voor jou data en verkopen ze data gewoon door. En ja als je betaald kunnen ze het alsnog door verkopen, maar dat schaad de reputatie van zo'n hackers club en dan grote kans dat ze de volgende keer niet meer betaald krijgen. Meestal wordt er onderhandeld met die partijen die wel bekend zijn in het wereldje en weten wie "betrouwbaar" is en wie niet.

[_Thanatos_]

Stond ook al op NOS, en ook daar werd onderstreept dat betalen niet altijd (lang niet altijd zelfs) leidt tot decryptie van je bestanden. Echt gijzelen van je bestanden is het dus niet meer dan. Gewoon vernielen en dan roepen "wij willen geld". Je hebt totaal geen garantie, noch dat je bestanden weer terugkomen, noch dat ze het later nog een keer gaan proberen.

Ik zou dus adviseren om nooit te betalen. Dat is het enige dat je als normale burger kunt doen om het probleem te bestrijden. Mijn persoonlijke visie is om sowieso nooit met criminelen te onderhandelen, want het zijn per definitie geen vertrouwenswaardige mensen, om het nog vrij zachtjes uit te drukken.

[Reactie gewijzigd door _Thanatos_ op 23 juli 2024 16:33]

[gimbal]

Dat is het enige dat je als normale burger kunt doen om het probleem te bestrijden.

Eh nee, dat is net zeggen als geen spam bericht openen het probleem van spam gaat bestrijden. Als je het probleem wil helpen bestrijden dan moet je mensen inlichten en dat betekent ook dat je jezelf moet opleiden om op een geloofwaardige en begrijpelijke manier begrip over te kunnen brengen. Een heel traject! Anders blijven naieve goedgelovende mensen de boel saboteren en is er 0 reden waarom scammers zouden ophouden met hun goedkope praktijken.

"Niet betalen" is praktisch vergelijkbaar met 2 euro geven bij een collecte. Je hebt iets bijgedragen aan het verhelpen van een probleem, het absolute minimale. Maar andere mensen moeten het werk doen.

[_Thanatos_]

Mee eens, maar ik dacht meer aan de dingen die je zelf kan doen die een direct gevolg hebben. Het sociale aspect bestaat daarnaast altijd wel. Als techneut geef je altijd wel hier en daar gratis advies weg Maw, ook als dit niet een heel actueel probleem zou zijn, mocht het tersprake komen, vertel je toch wat een groot probleem het is en dat betalen de oplossing niet is. En je legt natuurlijk uit hoe je het kan voorkomen, etc.

Ik zie een gelijkenis met de astronomische prijzen van GPU's. Dat is geen misdaad (nouja, bijna wel ) maar het enige dat je zelf kunt doen dat een direct gevolg heeft voor de fabrikant, is die mooie glimmende GPU gewoon niet kopen. Daarnaáást adviseer je vrienden en familie natuurlijk ook dat nu niet de beste tijd is om een gaming-pc te shoppen.

[wildhagen]

Stond ook al op NOS, en ook daar werd onderstreept dat betalen niet altijd (lang niet altijd zelfs) leidt tot decryptie van je bestanden.

Klopt. Dat je betaalt wil niet zeggen dat je data ook unlocked wordt., Wat ook voorkomt is dat er wel geunlocked wordt, maar alleen de eerste 1000 bestanden. Wil je meer unlocken, mag je nogmaals betalen. En na wéér duizend bestanden, nog een derde keer etc. Getallen als voorbeeld uiteraard.

En zelfs al betaal je, dan kunnen je gegevens nog altijd verkocht worden voor extra inkomsten voor de groep. Dat heet 'double extortion'. Betalen geeft dus géén garantie dat je je bestanden terug hebt, en ook geen garantie dat de data niet alsnog op straat komt te liggen.

En tegenwoordig gaan ze nóg verder, met een techniek die 'triple extortion' heet. Dan wordt je data versleuteld, de data wordt gelekt/verkocht, en het bedrijf wordt getroffen met (soms meerdere en hevige) DDoS-attacks als je niet, niet snel genoeg, of niet genoeg betaald naar de zin van de criminelen.

Zie bijvoorbeeld https://www.akamai.com/bl...iple-extortion-ransomware

Een beruchte criminele groepering die aan de genoemde Triple Extortion-praktijken doet is bijvoorbeeld het vrij bekende LockBit: https://www.bleepingcompu...-triple-extortion-tactic/

[Zomborro]

Het is ook maar net wat je rol als ZZP-er is denk ik of dit veel uitmaakt of niet?

Als je een loodgieter bent en je bewaart al je bestanden op een laptop, zullen dat meestal toch alleen facturen zijn. Die zitten waarschijnlijk toch al in je digitale boekhouding, dus zal de schade beperkt zijn.

M'n vriendin daarentegen is tuinontwerpster en doet alles digitaal. Daar komt geen (kleur)potlood meer bij kijken. Dus als haar bestanden weg zijn, bestaat het bedrijf eigenlijk niet meer. Om die reden heb ik alles via het 321 principe opgeslagen op 2 NAS devices waarvan een thuis en een bij m'n schoonzus.

[Reactie gewijzigd door Zomborro op 23 juli 2024 16:33]

[lenwar]

Toch zie je tegenwoordig al veel organisaties opteren dat het 321-principe 'verouderd' is.

Men gaat toch meer naar 322 (Twee externe kopieën. Dit is simpel met cloud-opslag) of 3211 (één op een offline medium)

[Wolfos]

Ik doe ook alles digitaal, maar projectbestanden en administratie staat in de cloud bij TransIP, met dagelijkse backups.
De rest is geïnstalleerde software en dingen die ik gewoon weer van Perforce zou kunnen plukken.

Ik kan me geen aannemelijke situatie voorstellen waar ik meer backups nodig ga hebben. Moet echt dubbelop zijn, én mijn huis brand af én TransIP bestaat spontaan niet meer

[jmsaow]

Ik heb nooit begrepen dat er geen mogelijkheid is voor de politie om de ontvanger van de losgelden op te sporen. Waarom is het nog steeds mogelijk dat Bitcoin en hun equivalenten wettelijk mogelijk zijn als de overheid niet kan achterhalen wie de rekeninghouders zijn en welke transacties er plaatsvinden.

[Mavamaarten]

Het kost gewoon veel moeite. Die criminelen gaan natuurlijk niet gewoon hun miljoentje aan bitcoins cashen bij de eerste de beste broker. Het is in dat opzicht eigenlijk net als cash geld: als je een miljoen euro steelt dan geef je dat niet gewoon in 1x uit aan een nieuwe auto want dan checken ze de serienummers gewoon. Het geld wordt eerst witgewassen, geruild voor andere zaken of gemixt voor andere coins in allemaal mini transacties.

Als je echt in de spotlight komt met veel slachtoffers of grote schade, dan wordt het logischer om de moeite te besteden om toch die transacties in omgekeerde richting te volgen. Maar anders is het redelijk onbegonnen werk.

[The_Woesh]

Het verschil is wel dat de bitcoins makkelijker de grens overgaan. En er ook landen zijn waar je zonder problemen je illegaal verkregen bitcoins kan uitgeven.

Rusland stond/staat erom bekend dit soort groepen te gedogen zolang de slachtoffers westerse bedrijven zijn.

[jevin20]

Bron?

[bzzzt]

https://nos.nl/artikel/23...elen-kunnen-hun-gang-gaan

Heb ook meerdere artikelen gelezen dat je toetsenbordindeling op Russisch zetten helpt omdat veel ransomware daarop zou controleren en dan niet actief wordt.

[Ludewig]

Bitcoin is een openbare database van transacties, dus het opsporen zelf is juist relatief makkelijk. Het lastige is dat de hackers internationaal opereren en vaak vanuit landen zonder uitleveringsverdrag zoals Rusland.

[Bor]

Het opsporen is wel degelijk heel moeilijk omdat het vaak niet bekend is wie er achter een adres zit. Daarbij worden er diverse technieken gebruikt om het volgen en opsporen lastig te maken.

[rvt1]

Dan aan bitcoin toevoegen dat er een larger komt waarin staat wat het address is lot/long dan duurt de transactie iets langer maar goed. Veiligheid is ook mooi

[Ludewig]

Het opsporen is wel degelijk heel moeilijk omdat het vaak niet bekend is wie er achter een adres zit.

De bitcoins moeten toch worden verkocht voor echt geld zodat de hackers hun rekeningen kunnen betalen. Je kunt zien wie de bitcoin heeft gekocht en dan kun jij bij de banken nagaan naar welke rekening die persoon het geld heeft overgehaald. Dat is dan de hacker.

[CivLord]

Daar heb je dus brokers en mixers voor.
Je laat x bitcoin overmaken naar een wallet die bij een exchange in Verweggistan staat. Vanuit die wallet stuur je het via een mixer naar een andere wallet, waardoor jouw bitcoins naar random ontvangers gaan en jij hetzelfde aantal bitcoins van random personen ontvangt, waardoor de betaalde bitcoins niet meer aan jou te linken zijn. Je kunt vanuit je anonieme wallet andere cryptocoins kopen en naar andere wallets laten sturen. Sommige cryptocoins zijn lastiger te traceren dan Bitcoins.
Herhaal verschillende van deze stappen een paar keer en de bitcoins die je uiteindelijk op je eigen wallet laat storten zijn niet meer te linken aan het betaalde losgeld. In principe, want je moet er wel het nodige voor regelen. En alles moet je met verschillende emailaccounts doen, die je vanaf verschillende locaties gebruikt (of via een betrouwbare VPN), met verschillende, ongerelateerde gebruikersnamen. Eén klein foutje in de hele keten kan genoeg zijn om opsporingsdiensten een houvast te geven om alles bloot te leggen.

Maar wanneer je de bitcoins eindelijk ontraceerbaar in je bezit hebt, komt het volgende probleem. Je moet ze uit kunnen geven zonder dat het in de gaten loopt. Elke transactie boven de € 10.000 moet in Nederland gemeld worden en veel landen hebben vergelijkbare regels. Natuurlijk is dat een gigantische berg meldingen waarvan verreweg de meeste nooit uitgezocht kunnen worden vanwege capaciteitsgebrek. (Pogingen om dat geautomatiseerd te doen stranden steeds vanwege privacy bezwaren en verontwaardigde burgers die in de media hun beklag doen dat ze gecriminaliseerd worden of als fraudeurs bestempeld worden omdat de belastingdienst durft te vragen hoe ze een Porche kunnen kopen met en bijstandsuitkering.) Maar wanneer je een keer op de radar komt, dan heb je een probleem.

[PepijnK]

Het is niet alleen dat er BTC mixers en dubieuze exchanges bestaan, maar ook bijvoorbeeld coins zoals Monero, die vanaf de grond af aan ontwikkeld zijn om zo anoniem mogelijk te zijn.

Het kunnen uitgeven is op dat punt in de regel het probleem niet meer. Landen als Rusland, Wit-Rusland en andere schurkenstaten boeit het gewoon geen zak.
Dat zag je in het verleden ook toen de Nigeriaanse 419-scams de grote hype waren. Die meuk was op gegeven moment bijna een derde van de Nigeriaanse economie, en dat land is zo gruwelijk corrupt dat de criminelen gewoon de politie omkochten.
De Nigeriaanse overheid deed er gewoon geen jota aan er was te veel geld mee gemoeid en te veel corruptie om ook maar een klein beetje te kunnen handhaven.

In bijvoorbeeld India zie je tegenwoordig wat meer een kentering, waar politie wel optreedt tegen de georganiseerde criminaliteit achter scammers. Maar ook dat heeft behoorlijk lang geduurd, tot op het punt waar India internationaal een dusdanig slechte reputatie had dat legitieme bedrijven er last van kregen.

En zelfs in NL is het relatief makkelijk om zeg met BTC te betalen bij Thuisbezorgd. Dat zijn allemaal kleine transacties die niet gemeld hoeven worden en de bijstand kan je makkelijk om de tuin leiden door gewoon wekelijks 50 euro te pinnen en te doen alsof je daar je boodschappen mee betaalt.
Zo kan je geen tonnen witwassen, maar je kan wel een paar duizend per jaar binnenharken zonder dat er ook maar iemand iets in de gaten heeft.

[CivLord]

Klopt.

Het laatste deel schreef ik vanuit het Nederlandse oogpunt, waar je als Nederlander mee te maken krijgt, wanneer je een flink bedrag aan onverklaarbare cryptocurrency in je bezit hebt.
Natuurlijk kom je een heel eind met kleine transacties bij besteldiensten en webshops, maar er zijn er niet zo gek veel meer waarbij je in crypto kunt betalen. En buiten de EU kan je leuke vakantiehuisjes kopen waar je om beurten naar toe kan gaan, maar er goed van leven in Nederland is op zichzelf al heel veel werk om het óf op naam van iemand anders te zetten óf om het via een constructie als inkomsten te kunnen claimen.
Nog niet zo gek lang geleden kon je het vrij makkelijk 'wit' wassen door het gewoon als inkomsten bij de Belastingdienst op te geven. Je moest er dan natuurlijk wel belasting over betalen, maar daarmee was het voor de overheid ook klaar. Maar dat gaat niet meer op sinds het witwassen van crimineel verkregen geld strafbaar is.

[RoccoS]

Ze vragen geen Bitcoins, maar privacycoins zoals bijv. Monero, weet ik uit eigen ervaring.

[mr_evil08]

In praktijk gaat dat niet zo makkelijk, de organiseerde bendes weten wel uit de handen van de politie te blijven, ook door bijvoorbeeld katvangers te gebruiken.

Het werkt niet zoals je in films ziet waarmee ze met 1 knop een kaart te zien krijgen waar ze zich bevinden.

[Reactie gewijzigd door mr_evil08 op 23 juli 2024 16:33]

[NotWise]

Er is soms een innige band tussen tussen veel van deze 'cybercriminelen' en overheden. Daarom zijn ze voor de politie lastig en soms onmogelijk om op te pakken. Als ze worden gepakt dan is dat vaak wanneer deze criminelen naar het buitenland reizen.

https://apnews.com/articl...b3841be45dff2d93ed3102999

[sOid]

Er zijn legio voorbeelden waarbij het de politie prima is gelukt om ransomwarebendes die bitcoin ontvingen op te sporten. Een bekende is casus bijvoorbeeld de Universiteit van Maastricht. nieuws: Universiteit Maastricht maakt 'winst' na retour ransomware-crypto-los...

Met jouw logica kun je je ook afvragen waarom contant geld nog mag bestaan. De stromen daarvan zijn immers ook niet (gemakkelijk) te achterhalen. Sterker: bij Bitcoin en veel andere cryptocurrencies is dit een stuk gemakkelijker door het publiekelijke en vrij toegankelijke grootboek van alle transacties.

[Bor]

In het geval van de Universiteit Maastricht zijn de criminelen die de aanval hebben uitgevoerd niet opgespoord? Jouw link toont dat ook niet aan. Er zijn geen veroordelingen bekend.

[CyBeRSPiN]

Hoe zie jij een cashbetaling aan een crimineel gebeuren dan? A la Hollywood: zet de zak met geld onder het viaduct, kom alleen, we houden je in de gaten of er mensen meekijken?
Cash is echt veel lastiger om over te dragen in zo'n geval dan een bitcoin overmaken naar een wallet waar niemand een idee van heeft wie er waar ter wereld toegang tot heeft.

[nulldev]

Omdat het geen wettig betaalmiddel is maar een ruilmiddel.

[RobbieB]

Het opsporen is niet moeilijk. Ze zitten alleen 99% van de keren in Rusland, China, Iran of Noord-Korea....

[WillySis]

Bitcoin en andere crypto-munten zijn geen wettige betaalmiddelen, maar door mensen geaccepteerd als ruilmiddel met een zekere tegenwaarde in betaalmiddelen die wel een wettige status hebben.

[litebyte]

Bitcoin is in menig land een wettig betaalmiddel.

[WillySis]

Voor zover ik weet is de Bitcoin alleen in Venezuela een wettig betaalmiddel. In veel andere landen is het een geaccepteerd betaalmiddel, maar dat is wat anders dan wettig. Er zijn meer landen waar crypto-coins verboden zijn.
Naast Bitcoin zijn er geen ander crypto-coins die ergens een wettelijke status hebben.

[Gamebuster]

Omdat het ontworpen is anoniem te zijn. Zo zijn er meerdere anonieme betaalmethoden, zoals goud en contant geld.

[litebyte]

Waarom is het nog mogelijk dat baar geld gewoon geaccepteerd wordt... Waarom niet elke betaling laten verlopen via een speciale overheidsdienst die kan controleren of je besteding wel mag/ethisch juist is/voldoende groen?

Een (betaling)middel verbieden omdat individuen/bedrijven/overheden incompetent zijn in zowel preventie als uitvoering is geen oplossing om de oorzaken en problematiek van criminaliteit op te lossen - het zijn daarnaast excuses voor de controle maatschappij die menig (populistisch) politicus graag verder ziet worden uitgebreid.

[FONfanatic]

Overheden kunnen dan iets verbieden omdat het niet strookt met hun ethiek. En waarvan betaal je dan de rechtzaken om alsnog je recht te halen?

[MrMonkE]

Dat weten ze wel voor een deel.
Iedereen die legaal gebruik maakt van de BTC en het koopt bij Billies BTC winkel.nl en de belastingdienst etc.

[MrMonkE]

"zzp'rs hebben hun IT beveiliging niet in orde" lees ik

En de ene ZZP'r is de andere niet.
Ik heb handjevol klanten in een jaar ofzo. SOmmige hebben tientallen klanten en soms honderden.
Ik heb er wel eens over nagedacht wat ik zou doen en ik kwam tot dezelfde conclusie als de ZZP'rs die niet betalen.

PS: Op papier is het altijd veilig.

[Reactie gewijzigd door MrMonkE op 23 juli 2024 16:33]

[DeerDitch]

Ik heb 1 klant in een jaar ofzo

Ik hoop dat je belastingadviseur je hiervoor heeft gewaarschuwd? 1 klant per jaar lijkt verdacht veel op werknemerschap...

[MrMonkE]

Ja, heb ik niet meer. In het verleden wel eens gehad meer dan 2 jaar. Dan weten sommige mensen op een gegeven moment niet eens meer dat je er niet in dienst bent. En ik had een collega die zat er al jaren. Hele goede all-round creative. Maar die buitte eerder het bedrijf uit dan andersom.

[FONfanatic]

Papier verbrandt snel, wordt door water vatbaar voor beschimmeling, is makkelijk te stelen, plus dat een administratie op papier aanmaken heel omslachtig is.

[Anoniem: 111246]

Je laatste statement gaat alleen op in geval van ransomware.
Brand, zilvervisjes, kinderen die je papiertje gebruik als vliegtuig of kleurplaat, het kwijt kunnen raken, het kan vervagen, etc.
'altijd' is wat te breed.

En er zijn tegenwoordig legio bedrijven die geen papier meer accepteren.

[The Zep Man]

Je laatste statement gaat alleen op in geval van ransomware.
Brand, zilvervisjes, kinderen die je papiertje gebruik als vliegtuig of kleurplaat, het kwijt kunnen raken, het kan vervagen, etc.
'altijd' is wat te breed.

Brand, bugs (fysiek en digitaal), kinderen die je PC misbruiken als spelcomputer, het per ongeluk verwijderen of niet meer terug kunnen vinden, bitrot, etc.

Alles wat je stelt is ook op het digitale van toepassing. Wat niet van toepassing is op het fysieke is inbraak, want geen inbreker gaat zware ordners met papier meeslepen om te gijzelen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 16:33]

[MrMonkE]

daarom en-en-en
ook wel redun-en-zie genaamd.

[360Degreez]

Eens per jaar de boekhouding op een USB stick. Loden kistje eromheen en wat flighttime inkopen bij SpaceX. Zolang je pakketje buiten het flightpath van een global killer blijft ben je safe :-)

Zelf heb ik mijn boekhouding jarenlang lokaal gedaan (snelstart) maar wel altijd met een hardcopy van alle in- en verkoopfacturen in de map en een sync + dagelijkse back-up lokaal (nas) en in de cloud. Redundancy is echt een keyword als je jezelf wilt indekken voor meerdere (ramp)scenario's.

[Isiki]

Ligt er natuurlijk een beetje aan hoe je het opbergt en wat voor 'extinction event' we het over hebben. Ik ben het wel met je eens dat recovery van je archief dan wat omslachtiger wordt...

Een direct hit van een meteoriet in de klasse 'extinction event'?
Heel diep begraven(?)

Zwervend zwart gat door ons zonnestelsel?
Parkeer je archief buiten het zonnestelsel, al dan niet al een datastroom in de vorm van een licht- of radiobundel.

Nucleaire oorlog?
Begraaf het in de tuin, in een vaccuumzak, lucht en vochtdicht. En schat je in dat je locatie semi-direct geraakt wordt: kies dan een oude koelkast. Want als Harrison Ford daarin kan overleven, dan kan een klein archiefje dat ook wel.

[MrMonkE]

Nee, een extinction event dat de hele aarde totaal vernietigd. Misschien zelfs het zonnestelsel.
Dan heb je niets aan een papiertje

[SPee]

Maar dan maakt het ook niet uit dat het weg is. Er is dan ook niemand om er om te vragen.

[SPee]

Je kunt je data veiligstellen in een kluis in de artic. Dat heeft o.a. GitHub gedaan met public code repo's.

[MrMonkE]

Ook toevallig.
Zit net in settings en zie:
Preserve this repository [ x ] Include this code in the GitHub Archive Program.

Mijn code staat ook in die arctic vault
https://archiveprogram.github.com/faq/

[mvrhrln]

hmz, is toch niet diezelfde mijn waar radioactief afval wordt opgeslagen hoop ik

https://en.wikipedia.org/...t_nuclear_fuel_repository

[Reactie gewijzigd door mvrhrln op 23 juli 2024 16:33]

[wica]

Als de ZZP-er getroffen is, meld die het dan ook aan zijn opdrachtgevers?
Zou wel moeten, daar de meeste ZZP-er op hun eigen devices werken met data van hun opdrachtgevers.

[Tweakert2020]

Ik heb wat ZZP'ers in de familie (in de bouw) maar die weten niet eens van het bestaan af van AVG.
Verder ligt het er natuurlijk aan hoe men getroffen is of ze wel of niet de opdrachtgevers moeten inlichten.

[Bor]

Ik heb wat ZZP'ers in de familie (in de bouw) maar die weten niet eens van het bestaan af van AVG.

Een ieder dient aan de geldende wet en regelgeving te voldoen. Wie niet weet van het bestaan van de AVG heeft de laatste jaren het nieuws niet gevolgd. Je kan je niet beroepen op 'dat wist ik niet' rond dit soort zaken.

[Tweakert2020]

100% mee eens, echter informatie is vrij summier en soms niet te snappen voor de "leek"
Een bouwvakker die een factuur naar een bedrijf stuurt verwerkt bijvoorbeeld geen persoonsgegevens en zou met AVG weinig te maken hebben. Althans, dat kan de conclusie zijn vanuit informatie wat je via de KvK kan opvragen.

[kodak]

Als je ondernemer wil zijn, dus ook zzp, dan kun je je niet gaan verschuilen achter informatie is summier of ik snap het niet. Dan neem je daar geen genoegen mee en huur ie iemand in die je daarbij helpt, om te voorkomen dat je niet aan de wet voldoet en anderen met onacceptabele problemen opzadelt die ze wettelijk niet hadden horen te hebben. Ondernemer zijn is geen kwestie van een kunstje kunnen doen om geld te verdienen en verder geen wettelijke verantwoordelijkheid nemen. Als ze zelfs dat soort verantwoordelijkheid al niet kunnen dragen dan klinkt het meer alsof men niet geschikt is ondernemer te zijn.

[Tweakert2020]

Leuk en aardig om dat zo te stellen, maar het is een eigen verwantwoordelijkheid en als de ZZP'er tot de conclusie komt dat ze aan de AVG voldoen en dat blijkt achteraf niet te zijn, wat dan?

[wildhagen]

Leuk en aardig om dat zo te stellen, maar het is een eigen verwantwoordelijkheid en als de ZZP'er tot de conclusie komt dat ze aan de AVG voldoen en dat blijkt achteraf niet te zijn, wat dan?

Dan zijn ze zelf verantwoordelijk voor de gevolgen (financieel, juridisch etc). Het is hun eigen verantwoordelijkheid om aan de wet- en regelgeving te voldoen. Met "ik dacht dat ik eraan voldeed" ontkom je daar écht niet aan hoor.

Als je het zelf niet wil doen als ZZP-er, dan huur je er maar een bedrijf voor in die het voor je doet (die zijn er genoeg), maar dat je het linksom of rechtsom moet doen, dát is wel iets wat vast staat.

[Reactie gewijzigd door wildhagen op 23 juli 2024 16:33]

[Tweakert2020]

Verantwoordelijk zijn ze in alle situaties, dus dat maakt niet zoveel uit. Wat als je een bedrijf hebt ingehuurd en het gaat alsnog fout?

[FONfanatic]

Dan geldt ketenaansprakelijkheid. Dat ingehuurde bedrijf zat fout, maar jij ook omdat je het door de vingers zag.

[FONfanatic]

Op een factuur staan naam, adres, bankgegevens, telefoonnummer, mailadres, website. Geen tot personen herleidbare gegevens zei u?

[Tweakert2020]

Wanneer dit louter bedrijfsnaam en gegevens zijn, zijn deze niet identificeerbaar als natuurlijk persoon.

[FONfanatic]

Wel zeker aangezien de bedrijfsnaam bij veeeele ZZP-ers hun eigen naam is. Vandaar dat het daarom mogelijk gemaakt is dat je je vestigingsadres laat afschermen voor de gemiddelde gebruiker van het Handelsregister dat door de Kamer van Koophandel wordt bijgehouden.

[Tweakert2020]

Dan ga je er vanuit dat een ZZP’er alleen factureert aan ZZP’ers

[FONfanatic]

Nee hoe kom je daarbij? De stucadoor die mij laatst zijn factuur gaf had zijn adresgegevens, KvK-inschrijving, telefoonnummer, bankrekening, mailadres er gewoon volgens de voorschriften op gezet.

[Tweakert2020]

Bij een wat groter bedrijf zoals ASML zijn deze niet te herleiden naar een privé persoon

[FONfanatic]

Dan zal ASML daar omwille van veiligheidsnormen (zoals tegengaan van spionage, datadiefstal, afpersing, omkoping e.d.) een protocol voor ingesteld hebben zodat die gegevens hooguit bij geselecteerde enkelingen die er van rechtswege iets mee moeten, beschikbaar zijn.

Maar zeg nou zelf, is dat een standaard werkomgeving?

[Tweakert2020]

Sowieso zijn privé adressen, ook van je stukadoor niet openbaar.

[FONfanatic]

Een bedrijf - dus ook een ZZP-er - is wettelijk verplicht aan klanten en leveranciers contactgegevens te verstrekken. Ook horen die opgenomen te zijn in de Algemene Voorwaarden en het Privacyreglement.

Dat de afdeling personeelszaken van ASML geen persoonsgegevens van ingehuurde ZZP-ers deelt met ander personeel heeft te maken met de AVG: dat heeft daar geen te rechtvaardigen belang bij.

[Bor]

Dat zou wel moeten vanuit de AVG. De AVG geldt voor alle zelfstandige ondernemers, bedrijven of organisaties die persoonsgegevens verwerken. Ook als u zzp'er of mkb'er bent. Het maakt niet uit of u de gegevens handmatig of geautomatiseerd verwerkt.

[Tweakert2020]

Veel ZZP'ers weten niet eens van het bestaan af van AVG.
Verder ligt het er natuurlijk aan hoe men getroffen is of ze de opdrachtgevers moeten inlichten.

[wildhagen]

Veel ZZP'ers weten niet eens van het bestaan af van AVG.

No offence, maar dan hebben ze hun zaken slecht geregeld. De AVG geld ook voor hen, het is als ZZP-er de taak om aan de wet- en regelgeving te voldoen. AVG of anderszins.

En ze hoeven het niet eens zelf te regelen, want er zijn gewoon checklists voor: https://www.zzp-nederland.nl/kennisbank/avg-zzp of https://www.ikwordzzper.n...-het-voor-mij-als-zzp-er/

En als zelfs dát teveel gevraagd is, zijn er gespecialiseerde bedrijven die ZZP-ers (tegen betaling uiteraard) het werk op dat vlak uit handen nemen. Bijvoorbeeld https://www.avg-programma.nl/

Daarnaast kan je je afvragen hoe serieus je een ZZP-er moet nemen die niet weet dat het AVG bestaat, laat staan wat het voor hen betekent.

Als ze zich al niet eens verdiept hebben in wat er bij ZZP-schap komt kijken qua regelgeving en takenpakket, geeft dat weinig vertrouwen eerlijk gezegd. Hoe veilig zijn je gegevens bij zo'n ZZP-er dan, bijvoorbeeld...?

[Reactie gewijzigd door wildhagen op 23 juli 2024 16:33]

[SPee]

Waarom zouden ze dat moeten melden als hun data enkel encrypted is?
Pas wanneer de data in handen van derden komt, zou je dat moeten melden.

[wildhagen]

Waarom zouden ze dat moeten melden als hun data enkel encrypted is?
Pas wanneer de data in handen van derden komt, zou je dat moeten melden.

Als ze "enkel encrypted" zijn, en je hebt geen (goede) backup moet je het ook gewoon melden (AP en je klanten).

Je uitspraak "Pas wanneer de data in handen van derden komt, zou je dat moeten melden" is dus pertinent niet waar.

Bij inbreuken op de beveiliging waarbij ransomware is aangetroffen, gelden dezelfde criteria voor het melden van het datalek als voor datalekken met een andere oorzaak. Dit houdt in dat u het datalek door ransomware mogelijk moet melden bij de AP en aan de slachtoffers.

Let op: in deze situaties moet u de slachtoffers wél informeren over het datalek:

- U twijfelt of de technische beschermingsmaatregelen die u heeft getroffen goed genoeg zijn.
- De gegevens zijn door de ransomware niet meer toegankelijk voor u en voor de slachtoffers. En u heeft geen back-up. Er is dan sprake van verlies van persoonsgegevens. Ook als u de gegevens had geëncrypt.

Zie https://www.autoriteitper...n/datalek-door-ransomware

En voor je nu zegt, 'bedrijven hebben een backup'. Helaas, maar 23 procent heeft dat niet:

Andere maatregelen die relatief goed worden doorgevoerd zijn het maken van back-ups, wat kleine ondernemers in 77 procent van de gevallen doen.

Zie nieuws: DTC: kleine bedrijven en zzp'ers beschermen zich digitaal onvoldoende

[Reactie gewijzigd door wildhagen op 23 juli 2024 16:33]

[wica]

Je hebt een vijandig programma op je computer, jij weet niet de werking van zo'n programma.
Dus je kan niet stellen dat je files enkel encrypted zijn. Je moet er vanuit gaan dat er ook data gestolen is.

Vandaar dat je het moet melden aan je klanten van wie jij data op je computer hebt staat of had staan.

En het melden is geen schande, iedereen kan er vroeg of laat eens het slachtoffer van zijn.

[Bor]

Waarom zouden ze dat moeten melden als hun data enkel encrypted is?
Pas wanneer de data in handen van derden komt, zou je dat moeten melden.

Van de autoriteit persoonsgegevens :

Heeft ransomware bestanden versleuteld die persoonsgegevens bevatten? Dan is dit een datalek. Er moet namelijk toegang tot de bestanden zijn geweest om deze te kunnen versleutelen. Eerst moeten de bestanden worden geopend, pas daarna kan de ransomware de gegevens versleutelen en vervolgens de versleutelde inhoud opslaan.

[Reactie gewijzigd door Bor op 23 juli 2024 16:33]

[OruBLMsFrl]

"Bedrijven met 2 tot 10 werknemers betalen relatief het vaakst; in 14 procent van de gevallen zou een door ransomware getroffen bedrijf in deze categorie betalen. In meer dan de helft van deze gevallen betaalt zo'n bedrijf dan ook nog eens meer dan de helft van zijn jaaromzet."

Dit is wel heel oppervlakkig zo, net alsof dat echt betaald wordt. Het zal eerder zo zijn dat in de categorie waar ze weinig vragen, kleine bedrijven nog veel vaker betalen. Ik kan me namelijk niet voorstellen dat ondernemers met maar een paar mensen in dienst de helft van hun omzet zouden betalen aan een ransomware incident. Bedrijfsmatig kun je nog eens nadenken over de helft van je winst, maar toch zeker niet de helft van je omzet. Vaak is winst eens 0-30% van de omzet, en dan mag je met 30% echt in je handjes knijpen. De helft van de omzet betalen, laat staan meer, ook al is het van één jaar, en je kan het bedrijf haast net zo goed sluiten, omdat je de komende paar jaar alle winst bij voorbaat al kwijt bent.

Zou ook een enorm vermogend klein bedrijf moeten zijn trouwens, dat alle inkomsten een half jaar vooruit zelf even kan bufferen. Dan kun je met veel minder prijzige maatregelen vast wel weer iets met je kleinere bedrijf, dan dat je jaren voor niets werkt.

[therealmuffin]

Dat viel mij ook op, en ik ging ervan uit dat dit verkeerd was overgenomen uit het rapport. Echter, het gaat wel degelijk om het betaalde losgeld t.o.v. de omzet.

Quote uit het rapport op pagina 36:

Gemiddeld voor alle bedrijven met 2 of meer werknemers betaalt 11 procent van de bedrijven losgeld. In ongeveer de helft van de gevallen bedraagt het losgeld meer dan 50 procent van de omzet. Het is te zien dat dit voornamelijk komt door de kleine bedrijven met 2 tot 10 werknemers waarbij de omzet in het algemeen lager is. De impact voor het bedrijf dat zo’n hoog percentage van de omzet aan losgeld betaalt is groot,

Zie ook figuur 3.1.11 op pagina 37