Is het verstandig om losgeld te betalen bij een hack?

Vlak voor de kerst werd de Universiteit Maastricht getroffen door een cyberaanval. De ransomware Clop legde bijna alle digitale systemen van de universiteit plat. Om weer toegang te krijgen, moest losgeld betaald worden. Er zijn geen officiële mededelingen over gedaan, maar volgens universiteitsblad Observant is er een betaling van enkele tonnen gedaan. Is dit inderdaad de beste oplossing bij een cyberaanval?

“Persoonlijk raad ik het af om te betalen”, zegt cybersecurityexpert Eddy Willems - betrokken bij het bestrijden van de eerste ransomware in 1989 op een besmette floppydisk. “Als je betaalt, houd je de ransomware-industrie, want dat is het inmiddels geworden, in stand. Die bestaat na dertig jaar nog steeds en zal blijven bestaan, omdat er bedrijven, instellingen en particulieren zijn, die betalen.”

Willems vindt het vanuit dat perspectief schandalig dat er betaald is, maar snapt het vanuit de menselijke kant wel. “De ransomware waar ze waarschijnlijk mee te maken kregen is geavanceerd. In zo’n situatie is er bijna geen andere mogelijkheid.” Anders ben je, als er geen goede back-up is, alles kwijt. Of het kost veel tijd en geld om alles op te lossen en de systemen weer in de lucht te krijgen. Betalen is de snelste manier om het op te lossen. Cybercriminelen weten dat.

Grotere organisaties hebben de laatste jaren steeds meer last van ransomware die flinke schade kan veroorzaken. Vooral bedrijven, universiteiten en ziekenhuizen zijn kwetsbaar. Die verzekeren zich daarom steeds vaker voor dit soort aanvallen. En ook die verzekeringsbedrijven kiezen er regelmatig voor om het losgeld te betalen, omdat de kosten van het herstellen van de systemen vaak hoger zijn dan simpelweg betalen.

Op de korte termijn is het goedkoper, maar op de lange termijn snijden ze zichzelf hiermee in de vingers omdat ze hiermee de ransomware-economie stimuleren. Er ontstaat een soort samenwerking met cybercriminelen die op die manier geld binnen zien komen. “Ik ben het beu aan het worden dat verzekeringen losgeld betalen”, zegt Willems. “De kern van de zaak is dat men zich slecht beveiligt, met slecht geïmplementeerde of slecht geconfigureerde antivirussoftware. In de verzekeringspolissen wordt niet geëist dat dergelijke beveiliging goed op is.”

Preventie is dus echt het allerbelangrijkste. Voorkomen is de enige manier om ransomware de baas te zijn. Dat doe je op verschillende manieren, vertelt Willems. Ten eerste moet je security-pakketten goed instellen en voortdurend updaten. Ook alle andere software moet up-to-date zijn. Ten derde moeten alle poorten die open staan naar de buitenwereld, goed beveiligd zijn. Het laatste en meest onderschatte aspect is de menselijke factor, zegt Willems. “Mensen vergeten wel eens updates of klikken per ongeluk op een link in een e-mail die echt aan hen gericht lijkt te zijn. Eén klik kan al genoeg zijn voor ransomware. Dat kun je verhelpen met opleidingen en trainingen. Daarom is het wel gek dat dit nu net aan een universiteit gebeurd is.”

Terug naar de Universiteit Maastricht. Die verwacht begin februari openheid van zaken te kunnen geven over de cyberaanval. Ze publiceren dan welke lessen ze geleerd hebben, zodat anderen ervan kunnen leren. Dan beloven ze ook vragen, zoals over het al dan niet betalen van het losgeld, te beantwoorden. Nu het onderzoek nog loopt kunnen ze hier niets over zeggen ‘in het belang van de studenten, werknemers en de universiteit als geheel’.

Dorine Schenk, Technisch Weekblad