Hoe ransomware uitgroeide tot een miljardenindustrie
Bij ransomware denken veel mensen aan een eenzame hacker met een hoodie in donker zolderkamertje. De werkelijkheid is anders. Digitale afpersing is uitgegroeid tot een professionele bedrijfstak met eigen marktplaatsen, onderhandelaars en verdienmodellen. En dankzij AI groeit die industrie sneller dan ooit.
© DNB
Deze week nog maakte de hackersgroep Shinyhunters bekend dat ze bij een hack van de Amerikaanse inlichtingendienst FBI een grote hoeveelheid gevoelige data in handen hebben gekregen, gegevens van duizenden FBI-agenten en mensen die bij de inlichtingendienst hebben gesolliciteerd. Shinyhunters is dezelfde groep die achter de hack bij Odido zat waarbij de gegevens van meer dan zes miljoen klanten op straat belandden.
Hoe kon ransomware uitgroeien tot een miljardenbusiness? En hoe blijven organisaties weerbaar in een wereld waarin cybercriminelen steeds slimmer worden?
Hoogleraar Anja Shortland onderzoekt al jaren de verborgen economie achter ransomware. Voor haar boek Je geld of je gegevens sprak ze hackers, onderhandelaars, verzekeraars en opsporingsdiensten. Tijdens een bijeenkomst in De Nieuwe Schatkamer van DNB ging ze erover in gesprek met datajournalist Remy Koens van Follow the Money en cyberexpert Martijn Knapen van DNB.
De eerste ransomware-aanval
De onbedoelde grondlegger van digitale afpersing is de Amerikaanse wetenschapper Joseph Popp. In 1989 stuurde hij duizenden geïnfecteerde floppydisks rond. Wie de disk gebruikte, verloor toegang tot zijn bestanden. Tegen betaling van 189 dollar werden de bestanden ontsloten. Popp wilde, naar eigen zeggen, op deze manier geld inzamelen voor aidsonderzoek.
Er staat veel op het spel
Wat begon als een nieuwe manier van geld aftroggelen, groeide uit tot een wereldwijd verdienmodel. Dankzij de opkomst van cryptovaluta werd het eenvoudiger om ongezien grote bedragen van eigenaar te laten wisselen. En organisaties zijn veel afhankelijker geworden van digitale systemen. Daarmee staat er bij een cyberaanval veel meer op het spel. En vanaf het moment dat bedrijven zich konden verzekeren tegen digitale afpersing werden de losgeldbedragen hoger.
Lucratief verdienmodel
De bedragen die criminelen eisen zijn inmiddels niet meer te vergelijken met die eerste 189 dollar. Zo belandden dit jaar de persoonsgegevens van miljoenen Odidoklanten op het darkweb. De hackers vroegen om een miljoen euro losgeld om publicatie van de klantgegevens te voorkomen. En medio vorig jaar zouden miljoenen euro’s zijn geëist van het laboratorium dat over de medische gegevens beschikte van de deelnemers aan bevolkingsonderzoeken.
Tientallen miljarden schade per jaar wereldwijd
Hoe groot de totale schade wereldwijd is, weet niemand precies. Anja Shortland: ‘Niet ieder incident wordt gemeld. Bedrijven zijn soms bang voor reputatieschade of willen niet laten zien dat hun beveiliging tekortschiet. Bovendien blijft de schade niet beperkt tot het losgeld alleen. Bedrijven hebben te maken met stilgevallen systemen, herstelkosten en omzetverlies.’ Volgens DNB-expert Martijn Knapen gaat het wereldwijd om tientallen miljarden per jaar.
Digitale wapenwedloop
Cybercriminelen en beveiligers zijn verwikkeld in een voortdurende wapenwedloop. Organisaties en bedrijven investeren steeds meer in beveiliging, terwijl cybercriminelen steeds slimmere aanvalstechnieken ontwikkelen. AI speelt daarbij aan beide kanten een belangrijke rol. Criminelen gebruiken AI om phishingmails te schrijven of aanvallen op te schalen. Beveiligers zetten dezelfde technologie in om verdachte activiteiten sneller te herkennen.
Sommige aanvalsmethoden verliezen ondertussen hun kracht. Het versleutelen van bestanden is minder effectief geworden omdat veel organisaties goede back-ups maken. Daarom richten criminelen zich vaker op het stelen van gevoelige gegevens en dreigen zij die openbaar te maken.
Het darkweb als marktplaats
Wie denkt dat hackers alles zelf doen, heeft het mis. Datajournalist Remy Koens laat aan de hand van screenshots van het darkweb zien hoe professioneel de sector is geworden. Er zijn complete diensten te koop. Van gestolen wachtwoorden en databases tot kant-en-klare ransomwarepakketten. Lange lijsten met overzichten van kwetsbare of juist sterke netwerken ter inspiratie. Bezoekers kunnen er ook terecht voor een gratis cursus Set your first steps in your hacking career. Cybercriminaliteit lijkt in sommige opzichten steeds meer op de normale economie, compleet met leveranciers, klantenservice en verdienmodellen.
Wel of geen losgeld betalen
De vraag waar getroffen organisaties voor staan: betalen of niet? Anja Shortland is duidelijk: ‘Het ligt eraan: wat hebben ze? Heeft de organisatie back-ups gemaakt, kan het bedrijf operationeel door, staan er, als het bijvoorbeeld om een ziekenhuis gaat, levens op het spel? Hoeveel moet je betalen voor een decryption key, zijn de afpersers te vertrouwen?
In geval van datalekken zeg ik: betaal niet. Waarom zou je criminelen op hun woord geloven? Bovendien, de schade is gedaan, de situatie verandert niet. Sommige criminelen houden de data nadat je betaald hebt, ook al zeggen ze van niet. Overigens betalen slachtoffers voor zover bekend, steeds minder vaak. Waar vroeger vrijwel iedereen inging op de eisen van criminelen, ligt dat percentage tegenwoordig veel lager.’
Naast technologie blijft gedrag cruciaal
Technologie alleen lost het probleem niet op. Veel aanvallen beginnen nog steeds met een menselijke fout: een klik op een verkeerde link, een zwak wachtwoord of verouderde software. De basis blijft daarom verrassend eenvoudig: installeer updates, gebruik unieke wachtwoorden per account en tweestapsverificatie, maak regelmatig back-ups en wees kritisch op berichten die om actie vragen.
Want hoe professioneel ransomware ook is geworden, veel aanvallen slagen nog altijd doordat criminelen een mens weten te misleiden.
Meediscussiëren? Je bent van harte welkom in De Nieuwe Schatkamer, de publieksruimte van DNB. Neem een kijkje in de agenda voor een discussie of evenement dat je interessant lijkt, meld je aan en wie weet tot snel!