Aanvallen met gijzelsoftware blijven onverminderd doorgaan. Grote cybercriminele groepen werden de afgelopen tijd verstoord door grootschalige politieacties, maar dat heeft geen vermindering teweeggebracht.
In Nederland zijn vorig jaar zeker 147 ransomware-incidenten geweest. Bij zo’n ransomwareaanval zetten criminelen de computersystemen van bedrijven op slot totdat ze losgeld betalen. Criminelen persen bedrijven meestal af door te zeggen dat ze anders gevoelige informatie lekken.
De 147 gevallen in Nederland vormen vermoedelijk slechts een klein deel van het totaal. Veel bedrijven doen geen aangifte uit angst voor reputatieschade. In Duitsland is het verplicht om een ransomwareaanval te melden. Daar eindigde de teller vorig jaar op vierduizend incidenten.
Deskundigen zien het aantal cyberaanvallen nog niet teruglopen. Na het grotendeels oprollen van de beruchte Lockbit-bende leek daar wel even sprake van. Inmiddels groeit het aantal aanvallen weer, zegt Zahier Madhar van cybersecuritybedrijf Check Point. “Ransomware blijft enorm populair onder criminelen, met name Ransomware as a Service (RaaS).”
Bij dit RaaS-model biedt een bende de ransomware als dienst aan. Andere partijen kunnen die dienst afnemen en gebruiken om zelf aanvallen uit te voeren. Achter de aanbieders zit vaak een groot bedrijf, mét een klantenservice die de afnemer helpt bij problemen.
Als de servers van een aanbieder zoals Lockbit door autoriteiten worden neergehaald, betekent dat niet dat hun geleverde software niet meer werkt. “De afnemers maken daarmee nog steeds slachtoffers”, zegt directeur Dave Maasland van cybersecuritybedrijf ESET Nederland.
Een deel van de infrastructuur van Lockbit is nu offline gehaald, maar de groep is nog niet helemaal weggevaagd, zegt Daan Keuper van cybersecuritybedrijf Computest. “Dit businessmodel kan tegen een stootje”, zegt hij. “Het is niet zo dat ze ermee stoppen als het een keer tegenzit. De criminelen hebben de software nog en kunnen nieuwe servers huren. Dan zijn ze zo weer in bedrijf.”
Ondanks dat is het goed dat de criminele groepen aangepakt blijven worden en dat autoriteiten hun successen openbaar maken, zeggen de experts. De successen moeten criminelen demotiveren om door te gaan. Acties van de politie laten zien dat criminelen niet zo anoniem zijn als ze zelf denken en dat ze hen op de hielen blijven zitten.
Het blijft een kat-en-muisspel waar geen einde aan komt. “De reden dat er steeds groepen terugkeren en nieuwe groepen bij komen, is omdat er simpelweg veel geld te verdienen valt”, zegt Madhar. En Maasland spreekt van een lucratieve economie. “Er zijn groepen die tientallen miljoenen opstrijken in een paar maanden tijd.”
Deze boodschap verscheen op de website van Lockbit na overname door de autoriteiten.
Madhar en Maasland zien daarnaast meer verharding binnen de cybercriminaliteit. “Het is ongekend hoe criminelen vandaag de dag te werk gaan met alle drukmiddelen die ze inzetten”, zegt Madhar. “Niet alleen persen ze getroffen bedrijven af, ze stappen ook naar hun klanten en contactpersonen.”
Volgens hen gaan criminelen steeds verder. Naast informatie gijzelen, versleutelen en dreigen om data openbaar te maken worden bedreigingen ook fysieker. “Er zijn situaties geweest waarin criminelen langs de deur gaan om bedreigingen te uiten”, zegt Madhar. “Cybercriminelen zijn vaak verbonden met de onderwereld op straat.”
Maasland kent gevallen waarin voicemails van slachtoffers werden ingesproken, waarin zij te horen kregen goed te letten op familie en vrienden.
Toch zullen criminelen in de toekomst mogelijk stiller te werk gaan, vanwege de grootschalige acties tegen ransomwareaanbieders als Lockbit en REvil.
“Lockbit investeerde veel in zijn imago”, zegt Maasland. “Ze maakten duidelijk dat zij de grootste en beruchtste groep waren. Daardoor waren ze niet alleen zichtbaar voor afnemers, maar ook bij de politie. Het is goed mogelijk dat groepen die nu opkomen, wat minder luidruchtig opereren om dat te voorkomen.”
