De realiteit van ransomware vandaag de dag ziet er anders uit dan enkele jaren geleden. Aanvallers blijven minder lang in je systeem, vragen minder losgeld en kennen geen loyaliteit.
“Vroeger vreesden we voor criminelen om de hoek, vandaag zijn dat criminelen wereldwijd”, begint Mikko Hyppönen, Chief Research Officer bij Sensofusion tijdens een recent cyberevent in Antwerpen. Die criminelen zijn bovendien geen doorwinterde hackers meer, maar “voornamelijk jonge mensen die eenvoudigweg ‘ransomware-as-a-service’ of hackingtools aankopen”, vertelt Geert Baudewijns, CEO en oprichter van Secutec. Hoe gaat een ransomware-aanval vandaag in zijn werk, en wie zit er aan de andere kant van het scherm?
Bericht van de hacker
Christophe Van Bortel, Hoofd van de Computermisdaadeenheid Antwerpen bij de Federale Politie België en Bjorn Clevers, Hoofd van het Cybercrimeteam bij Federale Gerechtelijke Politie West-Vlaanderen zitten bij de bron als het gaat om cyberaanvallen. Van Bortel werkte onder andere aan twee recente ransomware-cases, op het AZ Monica en de Antwerpse school OLV Pulhof.
Als je ooit al eens te maken hebt gehad met een hack, weet je (helaas) hoe het bericht van een cybercrimineel eruitziet. Voor wie hier (gelukkig) nog geen ervaring mee heeft, verwacht niets fancy. “Ze gebruiken geen bijzondere opmaak of afbeeldingen, gewoon droge tekst”, vertelt Clevers. Hij toont ons een echte ransomware-nota waarin enkele typische en belangrijke boodschappen staan.
“We hebben al jouw vertrouwelijke gegevens gehackt en gedownload. Als je in conversatie wil gaan met ons, surf dan naar onze website en typ de persoonlijke ID in die je van ons krijgt zodat we de onderhandelingen kunnen starten. Je krijgt hiervoor 72 uur de tijd. Als je binnen deze tijd geen contact met ons opneemt, dumpen we alle data op onze websites. Neem je wel contact op en betaal je het losgeld, dan helpen we jou met de ontsleuteling en geven we advies over hoe je je netwerk beter beveiligt.” Tot slot beloven ze je bewijsmateriaal van dat alle gestolen data verwijderd zijn en de garantie dat ze jou niet meer zullen aanvallen.
Aan de onderhandeltafel
Van zodra het bericht binnenkomt, gaan de onderhandelingen snel van start. Baudewijns is ondertussen een ervaren onderhandelaar met meer dan 600 onderhandelingen op de teller. Een onderhandeling duurt gemiddeld vijf tot zes dagen. Dat is volgens hem niet veel, vroeger konden onderhandelingen tot vijftien dagen duren. “Cyberaanvallers zitten vandaag zelf meer onder tijdsdruk en willen sneller verder naar het volgende slachtoffer.”
Baudewijns wijst op drie belangrijke elementen tijdens een onderhandeling. Het eerste en belangrijkste is het bedrag. De ransomwarebedragen zijn de laatste jaren sterk gedaald, omdat hackers steeds vaker kleinere bedrijven viseren tussen 10 en 500 gebruikers. Het gemiddelde bedrag dat hij vandaag onderhandelt, ligt tussen de 50.000 en 500.000 euro, waar dit vroeger veel hoger lag.
Het tweede element is de decryptor, het sleutelbestand waarmee de versleutelde data terug ontgrendeld kan worden. Dit is een van de meest kritieke onderdelen van de onderhandeling.
Inventaris
Tot slot is er de lijst van gestolen data. Dit is waar het volgens Baudewijns vaak misloopt aan de kant van het slachtoffer. “Geen enkel slachtoffer was tot nu toe in staat om mij de volledige lijst te geven. Voor mij is het veel sneller om een overzicht van de gestolen gegevens aan de hacker te vragen. In alle gevallen ontving ik die gestolen gegevens twee tot drie uur later.”
Ik kan sneller de lijst aan gestolen data verkrijgen via de hacker, dan bij het slachtoffer.
Geert Baudewijns, CEO en oprichter van Secutec
Bovendien weten de meeste slachtoffers niet hoe de cybercriminelen hun systemen zijn binnengeglipt. “Het grote probleem is dat de meesten liegen over de oorzaak”, vertelt Baudewijns. Hij adviseert bedrijven om hier transparant over te zijn, niet alleen voor zichzelf maar ook voor anderen.
Betalen is geen zekerheid
Volgens een onderzoek van Coveware blijkt dat steeds minder bedrijven losgeld betalen bij een ransomware-aanval. Betalen betekent vandaag dan ook geen zekerheid meer dat je je data terugkrijgt. Vroeger bestond er nog een kans dat cybercriminelen jouw data niet lekken mits je betaalde. Vandaag is dat anders. “We kunnen bedrijven dat niet meer garanderen”, aldus Baudewijns, zelfs als ze betalen”. Dat heeft alles te maken met de loyaliteit van cybercriminelen.
Onder de hoodie
Ransomware-aanvallers worden vaak weergegeven als een onherkenbaar, donkere waas met een hoodie, maar ze hebben wel degelijk een gezicht en identiteit. Wie daar een duidelijk overzicht van heeft, is de Federale Politie. Clevers toont ons in de marge van het cyberevent een lijst met een aantal grote ransomwaregroepen die actief Belgische bedrijven aanvallen.
Qilin is de grootste en bekendste op dit moment. Niet alleen in België maar internationaal. “Ze maakten wereldwijd al meer dan 16.000 slachtoffers. Qilin wordt gevolgd door Akira dat in 2003 opdook en wereldwijd 1.400 slachtoffers maakte. De derde plaats is voor de nieuwkomer ‘The Gentleman’ die in september 2025 opdook.
Clevers kleeft ook een echt gezicht op één van de meest gezochte ransomware-aanvallers. We krijgen een foto te zien van een jongeman die momenteel 29 jaar oud is. Hij begon zijn ransomware-carrière toen hij 21 jaar was, als lid van de beruchte LockerGoga groep. “Deze man staat hoog op de most-wanted-lijst van Europol. Moest je hem straks tegenkomen op straat, kan je zomaar tien miljoen euro verdienen, een beloning van het Amerikaanse Ministerie van Justitie. Hij wordt tenslotte ook gelinkt aan aanvallen in België.”
Denk als een hacker
“Bij ransomware gaat het niet alleen om technologie. Het gaat om (jonge) mensen die technologie gebruiken in de veronderstelling dat ze een spelletje spelen. Het gaat om bedrijven die denken dat het hen niet zal overkomen. Denk niet dat dit iets is voor de toekomst. Het is nu al een feit. Onderneem nu actie”, geeft Clevers mee.
“Cybercriminelen zijn net zoals andere criminelen, ze zullen er altijd zijn, net zoals we boeven of slechte mensen niet uit de wereld kunnen drijven. Dat is iets van alle tijden”, aldus Hyppönen.
“Pas als je in staat bent om te denken als een hacker, kun je een oplossing vinden. Wees slimmer dan zij. Dat is de cyberbeveiliging van de toekomst”, besluit Baudewijns.