Kritieke gemeentelijke gegevens herstellen zonder losgeld te betalen

oktober 21, 2026
Andy Maus
Casestudy's

Kritieke gemeentelijke gegevens herstellen

zonder losgeld te betalen

Klant:
Gemeente

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

Resultaten:
Tien back-updatasets hersteld, waaronder een back-up van een bestandsserver van 34 TB; zes extra applicatiebackups voor 99–100% hersteld

Een gemeente kreeg te maken met een ransomware-eis: de virtuele productiemachines waren versleuteld en meerdere back-upsystemen waren gecompromitteerd. De back-ups die een weg terug hadden moeten bieden, waren verwijderd, gedeeltelijk overschreven of ontoegankelijk gemaakt. Het herstellen van de kritieke gegevens van de gemeente zonder losgeld te betalen vereiste dat bruikbare gegevens werden gevonden binnen die beschadigde back-upinfrastructuur.

DriveSavers herstelde een back-up van een bestandsserver van 34 TB, toegangscontrolegegevens, twee virtuele schijven van webservers en zes extra applicatiebackups. De gemeente bevestigde uiteindelijk dat alle benodigde gegevens waren hersteld, waardoor er een alternatief was voor het betalen van de aanvallers.

De situatie van gegevensverlies

De aanval trof zowel de gegevensopslag voor productie als meerdere lagen back-ups. Virtuele machines op een Dell-SAN werden versleuteld, terwijl de systemen met de back-upgegevens elk andere obstakels voor herstel opwierpen.

Een Dell-server met Veeam bleef toegankelijk, maar het back-upvolume van 20 TB kon niet normaal worden geopend. Uit de evaluatie op afstand bleek dat ongeveer 33% van het volume met nullen was overschreven.

Een TrueNAS-systeem met acht schijven waarop back-upkopieën stonden, vertoonde een leeg bestandssysteem nadat de inhoud was verwijderd. Een Synology met 24 schijven was teruggezet naar de fabrieksinstellingen. Op een andere Synology stonden nog Veeam-back-upbestanden, maar ontbrekende componenten verhinderden een succesvolle import.

De gemeente had meerdere mogelijke herstelbronnen, maar geen eenvoudige weg om haar kritieke gegevens terug te zetten. De ingenieurs moesten vaststellen wat er nog stond op de onderliggende gegevensopslag en welke bronnen de door de klant benodigde back-ups konden opleveren.

Herstelproces

DriveSavers bekeek de omgeving samen met de gemeente en haar incident response-partij en stelde vast welke systemen op afstand konden worden geëvalueerd en welke laboratoriumonderzoek vereisten. De gemeente stelde haar prioriteiten vast, zodat de ingenieurs zich eerst konden richten op de belangrijkste datasets.

Het herstellen van de prioritaire back-ups

De naar de fabrieksinstellingen teruggezette Synology bevatte 24 schijven, geconfigureerd als twee RAID 6-arrays van elk 12 schijven. Laboratoriumanalyse stelde schade aan het BTRFS-bestandssysteem vast, maar scans spoorden Veeam-back-ups op van de prioritaire bestandsserver en het toegangscontrolesysteem van de gemeente.

De ingenieurs haalden de back-up van de bestandsserver van ongeveer 34 TB en de back-up van de toegangscontrole van 46 GB eruit.

Het herstellen van twee webservers

Het TrueNAS-systeem bevatte acht schijven in een RAID 5-configuratie met het ZFS-bestandssysteem. Scans spoorden twee back-ups van webservers op van ongeveer 32 GB en 2,1 GB.

Aanvullend ontwikkelwerk stelde de ingenieurs in staat beide virtuele schijven van de webservers te herstellen, met slechts geringe schade.

Het herstel uitbreiden

De gemeente vroeg vervolgens om zes extra applicatiebackups, voor rechtbankbeheersoftware, geografische informatiesystemen en een berichtenarchief.

De ingenieurs troffen alle zes aan op de Synology met 24 schijven en voltooiden de extractie. Het ging onder meer om back-ups van GIS-hosting, het portaal, SQL en het web, samen met de back-ups van het rechtbankbeheer en de berichtenarchivering. Drie werden volledig hersteld en drie voor elk 99%.

Herstelresultaten

De gegevens werden gefaseerd geleverd, naarmate het herstel vorderde, via elektronische overdracht en verzonden gegevensopslagapparaten. De gemeente bevestigde dat alle benodigde gegevens met succes waren hersteld zonder dat losgeld werd betaald.

Herstelde gegevens

Resultaat

Prioritaire back-up van de bestandsserver

Ongeveer 34 TB uitgelezen

Back-up van de toegangscontrole

46 GB uitgelezen

Back-up van de toegangscontrole

Hersteld met slechts geringe schade

Back-ups van GIS-hosting, SQL en web

Elk voor 100% hersteld

Back-ups van GIS-portaal, rechtbankbeheer en berichtenarchief

Elk voor 99% hersteld

Hersteloverzicht

De weg naar herstel liep via back-upgegevens die de aanval hadden overleefd, maar niet langer toegankelijk waren via de gebruikelijke herstelmethoden. Het opsporen en uitlezen van die gegevens vereiste werk op meerdere gegevensopslagplatforms, RAID-configuraties en bestandssystemen.

Door te werken met beschadigde back-upsystemen en voorrang te geven aan de meest kritieke gegevens van de gemeente, herstelde DriveSavers alles wat de klant als noodzakelijk had aangemerkt, waarmee gecompromitteerde back-ups na de aanval een weg vooruit boden.

Staat u voor een vergelijkbare situatie? Neem contact op met DriveSavers via 1 (888) 282-2227.

Andy Maus

Andy Maus is hoofd Strategische Partnerschappen & Cyberhersteldiensten bij DriveSavers, waar hij leiding geeft aan initiatieven die organisaties helpen bij het herstellen van kritieke gegevens na cyberincidenten, ransomware-aanvallen en andere beveiligingsinbreuken. Hij trad in 2023 in dienst bij DriveSavers, na meer dan twee jaar bij Arete Incident Response te hebben gewerkt, waar hij Data Recovery Services aan het herstelportfolio van het bedrijf toevoegde en strategische allianties aanging met SentinelOne, Dell en Presidio.
Eerder was hij bij Ontrack Data Recovery verantwoordelijk voor de wereldwijde verkoop en begeleidde hij complexe gegevensherstelprojecten voor klanten in 22 landen. Met meer dan drie decennia ervaring in de technologiesector – waaronder leidinggevende functies bij Dell, Mitel en Level 3 Communications – beschikt Andy over uitgebreide ervaring op het gebied van cyberincidentenbeheer, methoden voor gegevensherstel en grootschalige technische operaties.