Organisaties spelen Russisch Roulette
met ransomware
In de media wemelt het van berichten over recente ransomware-aanvallen, ook in Nederland. Zo werden onder meer MediaMarkt, VDL Groep en RTL Nederland onlangs lamgelegd door cybercriminelen. De gevolgen zijn vaak desastreus. Terwijl experts zich grote zorgen maken, liggen de meeste bedrijven – zeker in het mkb – nog altijd niet wakker van de dreiging van ransomware. Volgens Herman Rensink, senior cybersecurityconsultant bij Fortezza Groep, spelen zij Russisch Roulette.
Denkt u dat ‘het allemaal best meevalt met ransomware’? Dan hebben we slecht nieuws voor u. Deze vorm van digitale criminaliteit grijpt steeds meer om zich heen en richt steeds grotere schade aan. Uit onderzoek van ENISA blijkt dat het losgeldbedrag dat aanvallers vragen het afgelopen jaar is verdubbeld. De succesvolste ransomware-groepen van dit moment – Conti en REvil – zouden dit jaar elk al twaalf miljoen dollar losgeld van slachtoffers hebben ontvangen. Ook stelt ENISA dat verzekeringen die het losgeld van slachtoffers vergoeden, de ransomware-economie aanjagen.
De Nederlandse overheid onderzoekt momenteel dan ook of het verzekeraars kan verbieden om het losgeld te vergoeden dat bedrijven en organisaties hebben betaald na een ransomware-aanval. Ciaran Martin, oud-voorzitter van de NCSC pleitte eerder dit jaar in de Britse krant The Guardian zelfs voor een wetswijziging zodat ransomware-betalingen volledig worden verboden. Zover wilde inmiddels oud-minister Ferdinand Grapperhaus van Justitie en Veiligheid vooralsnog niet gaan. “Een algemeen verbod op het betalen van losgeld kan leiden tot minder losgeldbetalingen, maar kan ook grote nadelige effecten hebben.”, reageert hij op Kamervragen van de VVD. Op dit moment is er geen voornemen om losgeldbetalingen hier in Nederland wettelijk te verbieden.
Geen andere uitweg
Herman Rensink weet niet of zo’n verbod een goed idee is. “Getroffen organisaties betalen vaak omdat ze geen andere uitweg zien. Of ze nou verzekerd zijn of niet. Een verbod zal de betalingen alleen maar de illegaliteit indrukken. Er wordt wel weer een andere manier gevonden om te betalen. Aan de andere kant worden organisaties door zo’n verbod wel gedwongen om beter na te denken over hun beveiligingsstrategie en data recovery.”
Cyberverzekeringen zijn sterk in opkomst en bieden vaak een ruime dekking bij incidenten. Je kunt hierbij denken aan de kosten voor het herstel na een aanval, boetes en aansprakelijkheid bij privacy-overtredingen en netwerkincidenten, schade doordat de organisatie stil komt te liggen en eventuele juridische kosten, mocht er een zaak worden aangespannen. Veel verzekeraars bieden ook incident response-diensten: als een organisatie wordt gegijzeld door cybercriminelen, stuurt de verzekeraar een team van cybersecurityspecialisten, juristen en communicatie-experts. “Dit klinkt heel mooi, maar in de praktijk betekent het dat als uit onderzoek blijkt dat de getroffen organisatie de basis niet op orde heeft – en dit gebeurt vaker dan je denkt, omdat onduidelijk is wat goede basishygiëne bij cybersecurity precies inhoudt – de verzekeraar niet uitkeert”, vertelt Rensink.
Meer weten?
Bel met David Douwstra
+31 (0) 6 466 388 24
Verzekering steeds lastiger af te sluiten
Het wordt ook steeds lastiger om een verzekering tegen cybercrime af te sluiten, omdat deze vorm van criminaliteit razendsnel groeit en een steeds hogere kostenpost wordt. De hoogte van de exacte schade is lastig in kaart te brengen. Dat maakt het te verzekeren bedrag en de te betalen premie ingewikkeld. Uit onderzoek van Marsh blijkt dat premiestijgingen van 50% tot soms wel 600% voorkomen. Verzekeraars worden ook steeds kritischer als het gaat om het aannemen van nieuwe klanten. Met name IT-bedrijven, zorginstellingen en gemeenten worden vaak geweerd vanwege de grote financiële gevolgen bij cybercrime.
Verzekeren tegen ransomware-schade heeft dus veel haken en ogen. Dit betekent volgens Rensink niet dat de overheid cyberverzekeraars links moet laten liggen. “Verzekeraars kunnen helpen het beveiligingsniveau van organisaties te verbeteren en op een adequate manier te reageren, mochten organisaties getroffen worden.” Overigens zou hij graag nog meer partijen betrokken zien bij het vinden van de sleutel. “Het wordt hoog tijd dat overheid, kennisinstellingen en bedrijven de koppen bij elkaar steken om afspraken te maken. Alleen zo komen we tot een digitaal weerbaarder Nederland.”
Haagse Security Delta
Hij ziet hierbij een belangrijke rol weggelegd voor de Security Delta (HSD), het nationale veiligheidscluster dat begon in Den Haag. Inmiddels hebben zo’n 275 bedrijven, overheidsorganisaties en kennisinstellingen zich aangesloten bij het initiatief. Zij werken samen aan de digitale volwassenheid van Nederlandse organisaties, door kennis te delen en samen te werken aan innovatieve veiligheidsoplossingen die ook internationaal uitgerold kunnen worden. “Deze club zou de kar kunnen trekken om met elkaar overeenstemming te bereiken over wat het betekent om de basis op orde te hebben als het gaat om cybersecurity. Want er is nog altijd geen eenduidige definitie. En stel die jaarlijks bij, want we hebben het hier natuurlijk over een dynamische wereld. Hang er ook een kostenplaatje aan. Pas dan kunnen bedrijven en organisaties – zeker in het MKB waar vaak weinig expertise zit over cybersecurity – een weloverwogen beslissing nemen of ze hier de portemonnee voor gaan trekken en/of een verzekering afsluiten. Nu is dit nog een bodemloze put.”
De beste manier om losgeldbetalingen te beperken is dus niet het verbod op vergoeding door verzekeraars, maar het voorkomen dat organisaties slachtoffer worden van ransomware. Dat doe je door awareness te creëren en preventie hoger op de agenda te zetten. “En dat kan niet zonder samenwerking en kennisdeling. Laten we er samen de schouders onder zetten en een einde maken aan dit Russische Roulette. Want een bedrijf in grote problemen zien komen of zelfs failliet zien gaan door een ransomware-aanval, dat gun je toch niemand? Je moet er niet aan denken dat na jarenlang ploeteren alles down the drain gaat.”
