WODC: Kleinere organisaties onderschatten risico van ransomware

Bestuurders van kleinere organisaties onderschatten in tegenstelling tot hun ICT'ers vaak het risico op en de gevolgen van ransomware-aanvallen, blijkt uit onderzoek van het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC). Voor het tegengaan van ransomware-aanvallen is het belangrijk dat ook bestuurders van middelgrote en kleine organisaties een beter begrip krijgen van dergelijke aanvallen. Het WODC pleit voor een bewustwordingscampagne.

Uit het onderzoek blijkt dat een ransomware-aanval vaak uit een vijftal stappen bestaat:

1. Initial access: de aanvaller krijgt toegang tot het systeem van het slachtoffer. Vaak vindt deze toegang plaats via een account van een medewerker.
2. Consolidatie van toegang en positie: nadat de aanvaller toegang heeft verkregen, probeert deze de toegang tot systemen van het slachtoffer uit te breiden.
3. Data-exfiltratie: bij sommige aanvallen stelen aanvallers ook data van het slachtoffer, waarna de aanvaller deze dreigt door te verkopen of te publiceren als chantagemiddel.
4. Ransomware deployment: Ransomware wordt ingezet om een grote hoeveelheid data van een organisatie te versleutelen. Alleen de aanvaller beschikt over de sleutel.
5. Chantage en cash out: de aanvaller communiceert zijn eis aan het slachtoffer voor het stoppen van de aanval, terugkrijgen van de gegijzelde data of tegenhouden van de publicatie van gestolen gegevens.

Ook komen diverse externe risicofactoren naar voren die de kans op een ransomware-aanval vergroten. Denk hierbij aan het niet beschikken over een goede back-up, onvoldoende training van werknemers en het gebruik van niet up-to-date software.

Bewustwording

Een bewustwordingscampagne kan helpen het bewustzijn onder het management van kleinere organisaties te vergroten. Een dergelijke campagne moet volgens de onderzoekers een aantal elementen bevatten:

• Confronterende feiten zoals de gemiddelde schade van slachtoffers
• Bestuurders op prikkelende wijze bewustmaken van hun eigen situatie. Wat zijn de gevolgen indien alle gegevens openbaar worden gemaakt? Of indien ICT-middelen voor een periode van drie weken niet gebruikt kunnen worden. Denk echter ook aan het betalen van losgeld ter grootte van vijf procent van de omzet.
• Concrete handelingsperspectieven over hoe en wat een organisatie minimaal op orde moet hebben om goed beschermd te zijn tegen ransomware-aanvallen.
• Een persoonlijke boodschap gericht aan bestuurders die de inhoud van de campagne actief onder de aandacht brengt.
• De presentatie van social normen die bestuurders het gevoel geven dat vergelijkbare organisaties eveneens stappen zetten om zich tegen ransomware te wapenen.

Het volledige rapport is hier beschikbaar.