Betalen of niet betalen: DriveSavers geeft zijn visie nadat het bedrijf werd geciteerd in de Financial Times

De Britse overheid werkt aan plannen om losgeldbetalingen volledig te verbieden voor overheidsinstanties en aanbieders van vitale nationale infrastructuur, waaronder de NHS, gemeenten en scholen. Dat is een serieus antwoord op een serieus probleem. De meeste slachtoffers van ransomware zijn kleine en middelgrote bedrijven, geen exploitanten van vitale infrastructuur. Een verbod dat zich richt op aanbieders van vitale infrastructuur raakt dus maar een klein deel van alle aanvallen, en zal op zichzelf waarschijnlijk weinig bijdragen aan het terugdringen van de totale omvang van ransomware-criminaliteit.

Hiervoor bestaat al een testcase. North Carolina verbood ransomwarebetalingen voor overheidsinstanties in 2021, en Florida volgde in 2022. Geen van beide verboden lijkt de criminele activiteit in een van beide staten wezenlijk te hebben afgeremd. Haydn Brooks, CEO van Risk Ledger, bracht in hetzelfde artikel een gerelateerd punt naar voren: als overheidsinstanties niet mogen betalen, zullen criminele groepen zich waarschijnlijk richten op minder gereguleerde doelwitten in de private sector, en verzekeraars zouden hierop kunnen reageren door ransomware-uitkeringen volledig uit te sluiten, waardoor de premies zouden stijgen.

Elders ziet de juridische situatie er anders uit. Het Verenigd Koninkrijk, Australië en andere rechtsgebieden waar DriveSavers actief is, overwegen eigen beperkingen of handhaven deze al. Organisaties buiten de VS moeten er dus niet vanuit gaan dat de Amerikaanse regels ook voor hen gelden.

De zaken waaraan DriveSavers werkt, vertonen een patroon dat een paar jaar geleden nog niet zo consistent was. Voordat aanvallers systemen versleutelen, beschadigen of verwijderen ze eerst de backup-infrastructuur: Veeam-backuprepository's, Hyper-V-hosts en VMware ESXi-hosts zijn hier goede voorbeelden van. Ongeveer de helft van de ransomware-datahersteltrajecten die DriveSavers de afgelopen twee jaar heeft behandeld, betrof aanvallers die specifiek Veeam-backups aanvielen voordat ze de primaire servers raakten. Veeam is met wereldwijd ongeveer 550.000 klanten het dominante backupplatform voor gevirtualiseerde omgevingen, en veel IT-teams weten niet dat verwijderde of beschadigde Veeam-backupbestanden dankzij de eigen, door DriveSavers ontwikkelde hersteltools en -technieken vaak nog steeds kunnen worden herstelt.

Ook de decryptietools die door aanvallers worden verstrekt, zijn onbetrouwbaar, vooral bij grote bestanden en databases. Organisaties die losgeld betalen om een decryptietool te verkrijgen, hebben daarna vaak nog steeds professioneel datahersteld nodig om een volledige set bruikbare bestanden te herstellen, omdat het decryptieproces zelf gegevens corrumpeert. En onveranderlijke (immutable) backups zijn, hoewel ze zeker de investering waard zijn, geen garantie. DriveSavers heeft kritieke gegevens teruggehaald in gevallen waarin een backupserver die als onveranderlijk werd verkocht, volledig was verwijderd, omdat de software die deze onveranderlijkheid beheerde zelf was gecompromitteerd.

Bij een recente opdracht hielp DriveSavers een verzekeraar een losgeldeis van naar verluidt miljoenen dollars te vermijden, door alle noodzakelijke operationele gegevens uit verwijderde backups te herstellen. De vereiste dataherstelservices kostten slechts een fractie van dat bedrag. Dit is onderdeel van een bredere verschuiving: verzekeraars vragen nu standaard of dataherstel haalbaar is voordat ze een losgeldbetaling goedkeuren, iets wat een paar jaar geleden nog geen gangbare vraag was.

Het betalen van losgeld garandeert niet dat aanvallers een werkende decryptiesleutel overhandigen, dat uw gegevens intact terugkomen, of dat gestolen gegevens later toch niet ergens opduiken.

De omgekeerde stelling vereist evenveel voorzichtigheid, en het is nuttig om onderscheid te maken tussen twee begrippen:

Enkele andere personen die samen met Maus werden geciteerd, brachten een punt naar voren dat meer aandacht verdient dan het verbodendebat zelf. Gavin Millard, VP product bij Tenable, verwoordde het onomwonden: de meer relevante vraag is hoe je ransomware van meet af aan minder winstgevend maakt. De meeste aanvallen maken nog altijd misbruik van bekende kwetsbaarheden en blootgestelde systemen, waardoor exposure management op de lange termijn meer effect heeft dan enig betalingsbeleid. Spencer Young van Delinea bracht een gerelateerd punt naar voren over toegangscontrole: door vaste rechten te beperken, zodat één gestolen inlogcode zich niet vrij door een netwerk kan verplaatsen, wordt de schade beperkt, ook wanneer een aanval slaagt.

Wat betreft paraatheid hebben organisaties die het snelst herstellen doorgaans al vooraf gedocumenteerd waar hun back-ups zich bevinden, welke systemen kritiek zijn en wie ze moeten bellen, nog voordat een aanval plaatsvindt. Die contactlijst moet ergens anders worden bewaard dan op de primaire servers, zodat deze niet samen met al het andere wordt versleuteld, en moet juridisch advies, de cyberverzekeraar en een dataherstelservice omvatten.

Het dilemma rond het betalen van een ransomware-eis oplossen is nooit eenvoudig. Beschouw het als een beslissing met meerdere factoren, niet als één morele keuze: hoe gevoelig de gegevens zijn, of de back-ups bewaard zijn gebleven, wie de specifieke aanvaller is, hoe de juridische blootstelling eruitziet, en hoe realistisch dataherstel daadwerkelijk is. Schakel vroegtijdig externe hulp in, voordat een losgeldtermijn u dwingt tot een beslissing, zodat u over meer van deze factoren beschikt, in plaats van minder.

Lees het volledige rapport van de Financial Times: “Surge in ransomware hacks deepens divide over whether to pay” (mogelijk is een abonnement vereist).