Het merendeel van de ransomware-infecties op Europese bedrijven en instellingen wordt niet gemeld aan de autoriteiten. Ook is van een groot deel van de slachtoffers onbekend hoe ze geïnfecteerd raken en of ze het losgeld betalen. Dat zou de aanpak van ransomware bemoeilijken.
Enisa, het agentschap van de Europese Unie voor cyberbeveiliging, schrijft in een rapport dat het weinig zicht heeft op ransomwareslachtoffers. Het agentschap keek voor het onderzoek naar 623 incidenten in zowel de EU als het Verenigd Koninkrijk en de Verenigde Staten die in het afgelopen jaar plaatsvonden. In totaal zou daarbij tien terabyte aan data zijn gestolen. In 58 procent van de gevallen werd ook data gestolen van werknemers. Enisa gebruikte rapportages van bedrijven en overheden, mediaberichten en blogposts en in enkele gevallen berichten op het dark web.
Een opvallende conclusie in het rapport is dat Enisa van 94,2 procent van alle incidenten niet kon achterhalen of het bedrijf het losgeld betaalde. In 37,88 procent van de gevallen werden op een later moment alsnog gegevens gedeeld op internet die bij de aanval werden gestolen. "Daaruit kunnen we concluderen dat 61,12 procent van alle bedrijven tot een overeenkomst is gekomen met de aanvallers of een andere oplossing heeft gevonden", schrijven de onderzoekers. Bij ransomware-infecties is het inmiddels de norm dat aanvallers ook dreigen om gestolen data openbaar te maken, als extra pressiemiddel op het slachtoffer. Dat gebeurt in het overgrote merendeel van de gevallen.
De onderzoekers zeggen daarnaast dat het aantal bestudeerde gevallen 'slechts het topje van de ijsberg is'. In werkelijkheid zou het aantal ransomware-infecties veel hoger liggen. Dat is volgens de onderzoekers moeilijk te achterhalen, omdat veel slachtoffers hun incidenten niet publiek maken of die niet melden bij de autoriteiten.
Dat maakt ook nader onderzoek naar ransomware moeilijk, zegt Enisa. In veel gevallen kunnen of willen de slachtoffers niet zeggen hoe de aanvallers voor het eerst zijn binnengekomen. Gecombineerd met het feit dat ransomwarebetalingen vaak in het geheim worden gedaan, 'helpt die aanpak niet bij de bestrijding van ransomware, integendeel', schrijven de onderzoekers.
Enisa pleit ervoor dat er betere regels komen waarbij cyberincidenten verplicht gemeld moeten worden. Dat wordt beter mogelijk onder de Network and Information Security Directive of NIS2. Dat is een Europese verordening die momenteel in de maak is en die bedrijven binnen bepaalde sectoren verplicht om cyberincidenten te melden.