2017 stond in het teken van cybercriminaliteit

In 2017 was er sprake van buitensporig veel IT-beveiligingsincidenten. Jaarlijks vinden er duizenden succesvolle cyberaanvallen plaats, maar het afgelopen jaar kwam een groot aantal daarvan in de openbaarheid. Zo haalden aanvallen met de ransomware-varianten WannaCry en NotPetya het nieuws en werd er melding gemaakt van hacks bij Equifax en zelfs Uber. Wat hebben we nu precies van deze incidenten geleerd, en hoe kunnen organisaties zich beter voorbereiden op cyberaanvallen?

Eind januari werden verschillende Britse banken, waaronder Lloyds Bank, getroffen door een grootschalige distributed denial of service (DDos)-aanval die twee dagen lang aanhield. Cybercriminelen probeerden hiermee de toegang tot ruim 20 miljoen bankrekeningen te blokkeren. Als gevolg hiervan konden klanten van deze banken geen online betalingstransacties uitvoeren of hun saldo via internet raadplegen. In februari haalde de ogenschijnlijk onschuldige teddybeer van CloudPets de krantenkoppen. Deze met het internet verbonden knuffelbeer wees op de gevaren die gepaard gaan met het verbinden van alledaagse zaken met het internet. Meer dan twee miljoen opnames die kinderen en ouders met deze IoT-beer hadden gemaakt werden gelekt, evenals e-mailadressen en wachtwoorden van ruim 800.000 gebruikersaccounts. Maart bracht niet alleen warmer weer en bloesem. Er was sprake van groeiende zorgen over de veiligheid van de informatie van 26 miljoen patiënten van de Britse National Health Service toen bleek dat de medische dossiers van 2.700 huisartspraktijken toegankelijk waren voor onbekenden.

Het aanbreken van de lente in april ging gepaard met het nieuws dat de International Association of Athletics Federations (IAAF) was getroffen door een cyberaanval van een kwaadaardigere beer dan de IoT-knuffelbeer van CloudPets, en wel de beruchte internationale hackersgroep Fancy Bear. Deze hackers hadden de medische dossiers van diverse atleten geplunderd. In sommige gevallen bevatten deze informatie over verboden middelen die sporters hadden gebruikt. In dezelfde maand was ook sprake van ‘luchtiger’ nieuws: een hacker had Netflix gegijzeld in verband met de start van het nieuwe seizoen van de hitserie ‘Orange Is the New Black’. Tot de grote vreugde van de fans van de serie en de grote spijt van Netflix werd het seizoen vroegtijdig gelekt omdat het bedrijf de losgeldeisen van de hacker niet inwilligde.

In mei steeg niet alleen het kwik, maar ook de temperatuur in directiekamers in alle delen van de wereld. Dat was te wijten aan de komst van WannaCry. Deze verwoestende ransomware-variant trof honderdduizenden organisaties, waaronder nutsbedrijven en grote ondernemingen. Wannacry legde zelfs tijdelijk de systemen van ziekenhuizen en faciliteiten van de National Health Service plat. Hierdoor werden belangrijke medische procedures vertraagd en ontstond een enorme chaos voor talloze Britse patiënten. Net toen we dachten dat het ergste achter de rug was, bracht de maand juni een nieuwe ransomware-crisis met zich mee. Dit keer ging het om Petya (en de variant NotPetya), dat eerst computers in de Oekraïne infecteerde om een week later zijn tentakels uit te slaan naar systemen in Duitsland, Nederland, Groot-Brittannië, Israël, Spanje en de Verenigde Staten.

In juli viel het aanbreken van de zomer samen met nieuws over hackers die minstens twaalf Amerikaanse energiecentrales waren binnengedrongen en cybercriminelen die het op het kabelnetwerk HBO hadden gemunt. In augustus werd de finale van de razend populaire serie ‘Game of Thrones’ gelekt. De maand september bracht een van de meest ijzingwekkende aanvallen van 2017. Het slachtoffer was Equifax, een van de drie grootste kredietbureaus van de Verenigde Staten. Hackers wisten hierbij gegevens van 143 miljoen consumenten te bemachtigen, waarop de aandelenkoers van het bedrijf een snoekduik maakte.

In oktober bleek Halloween helaas niet de griezeligste dag van het jaar. Yahoo kan daarover mee vertellen. Op 3 oktober kwam aan het licht dat er bij het omvangrijke datalek bij het bedrijf in augustus 2013 gegevens van alle gebruikers van zijn diensten waren gestolen. Dit komt neer op in totaal drie miljard mensen. En terwijl de bebaarde man in Lapland in november begon met het opstellen van zijn lijst met lieve en stoute kinderen, bleef de lijst met online slechteriken groeien. Zo bleek dat Uber in 2016 een datalek had verzwegen waarbij gegevens van 57 miljoen klanten en chauffeurs waren buitgemaakt. Het bedrijf had geprobeerd om het datalek stil te houden door de hackers 100.000 dollar te betalen om de gegevens van hun systemen te verwijderen.

Wat hebben we van dit alles geleerd?

2017 zal worden herinnerd als het jaar waarin cyberbeveiliging wereldwijd vol in de schijnwerpers kwam te staan in de media en directiekamers. Maar wat hebben we nu precies geleerd van dit turbulente jaar? In ieder geval dat iedereen en elk bedrijf slachtoffer kan worden van cybercriminaliteit. Want of het nu gaat om mediabedrijven, fabrikanten, voor reizigers, banken, energiecentrales of zorginstellingen, niets is heilig voor cybercriminelen. We kunnen daarom verwachten dat zij hun ‘follow the money’-aanpak in 2018 zullen voortzetten. Cybercriminelen zullen de technieken die in 2017 succesvol bleken verder ontwikkelen en nieuwe manieren bedenken om de rest van de wereld een stap voor te blijven.

Wat zal 2018 brengen, en hoe kunnen we ons daarop voorbereiden?

In het nieuwe jaar zal naar alle waarschijnlijkheid sprake zijn van een toename van het aantal ransomware-aanvallen. Deze vorm van malware blijft namelijk uiterst lucratief voor cybercriminelen, en stelt hen in staat om zo goed als onzichtbaar te blijven. Verder zal er steeds vaker misbruik worden gemaakt van kwetsbaarheden in IoT-technologie, zeker nu er steeds meer zaken met het Internet of Things worden verbonden van smart home-assistenten, smart cars en allerhande andere slimme ‘dingen’, met inbegrip van teddyberen. Verder kunnen we meer cyberaanvallen op banken verwachten. Dit kan variëren van sterk gerichte pogingen om de netwerken van hoogwaardige doelwitten binnen te dringen tot aanvallen op banken met massale trojan-botnets. Deze laatste bieden cybercriminelen een optimaal rendement op hun investeringen doordat zij een breed net kunnen uitwerpen.

Dat betekent dat organisaties van elke omvang, ongeacht de sector waarin ze actief zijn, zich moeten voorbereiden op het onvermijdelijke moment waarop ze door een cyberaanval worden getroffen. Veel organisaties gaan er onterecht vanuit dat ze een te klein doelwit vormen of dat hun data niet interessant genoeg is om te hacken. Maar niets is minder waar. Cybercriminelen zijn voortdurend op zoek naar eenvoudige manieren om hun bankrekening te spekken. Ze richten steeds vaker hun focus op kleine bedrijven, omdat die vaak niet even uitgebreide beveiligingsmaatregelen hebben getroffen als grote ondernemingen. Cybersecurity hoeft echter geen kostbare of arbeidsintensieve aangelegenheid te zijn. Een aantal van de datalekken die in dit artikel aan bod kwamen, hadden kunnen worden voorkomen als de getroffen organisaties in kaart hadden gebracht wat hun meest gevoelige data waren en waar die werden opgeslagen, het aantal mensen met toegang daartoe te beperken en hun personeel voor te lichten over best practices voor beveiliging.

De conclusie luidt dat organisaties wereldwijd in 2018 hun basispraktijken voor cyber-beveiliging moeten verbeteren. Ze moeten inzien dat cybersecurity een gedeelde verantwoordelijkheid is. Dat geldt voor iedereen met toegang tot het bedrijfsnetwerk, van directieleden tot receptiemedewerkers. Cybercriminelen zullen in 2018 een nog breder scala aan aanvalstactieken hanteren. Het is nu tijd om onze verdedigingsmechanismen te integreren en samen te werken aan een veiliger online omgeving voor iedereen.