Ransomware uitgelegd: hoe gijzelsoftware werkt en wat je ertegen doet
Ransomware versleutelt bestanden van slachtoffers en eist losgeld voor de decryptiesleutel. Dit artikel legt uit hoe zo'n aanval verloopt, wat de impact is en welke basismaatregelen organisaties kunnen nemen.
Kernpunten
- Ransomware is schadelijke software die bestanden versleutelt en pas na betaling van losgeld — doorgaans in cryptovaluta — een decryptiesleutel geeft.
- De meest voorkomende besmettingsroutes zijn kwaadaardige e-mailbijlagen, phishinglinks en kwetsbaarheden in netwerksoftware.
- Wereldwijde losgeldbetaling piekte in 2023 op 1,25 miljard dollar en daalde in 2024 naar 813 miljoen dollar, mede door meer weigeringen van slachtoffers en handhavingsacties.
- Back-ups, tijdig patchen en netwerksegmentatie behoren tot de kernmaatregelen om de schade van een aanval te beperken.
Ransomware — in het Nederlands ook wel gijzelsoftware — is een vorm van malware die de bestanden van een slachtoffer versleutelt. De aanvaller eist vervolgens betaling, meestal in moeilijk te traceren digitale valuta zoals Bitcoin of andere cryptovaluta, in ruil voor de sleutel die de bestanden ontsleutelt. Dat meldt Wikipedia op basis van meerdere bronnen.
De eerste gedocumenteerde ransomware dateert al uit 1989 (het zogenoemde AIDS-trojaans paard). Sindsdien groeide het fenomeen uit tot een wereldwijd probleem: in de eerste helft van 2018 werden al 181,5 miljoen aanvallen geregistreerd, 229 procent meer dan in dezelfde periode een jaar eerder.
Hoe verloopt een aanval?
Een ransomware-aanval verloopt doorgaans in drie stappen:
- Besmetting — De aanvaller brengt de malware het systeem binnen via een kwaadaardige e-mailbijlage, een phishinglink of een kwetsbaarheid in een netwerkdienst.
- Versleuteling — De software versleutelt bestanden met een willekeurige symmetrische sleutel, die zelf weer versleuteld wordt met de publieke sleutel van de aanvaller. De originele bestanden worden gewist zodat herstel zonder de decryptiesleutel onmogelijk is.
- Losgeldeis — Het slachtoffer krijgt instructies om te betalen. Na ontvangst van het losgeld stuurt de aanvaller (in theorie) de benodigde sleutel.
Wat betekent dit voor de BeNeLux?
Ransomware treft organisaties wereldwijd, ongeacht omvang of sector. De financiële schade omvat niet alleen het eventuele losgeld, maar ook herstelkosten, stilstandtijd en reputatieschade — kosten die, aldus Wikipedia, gemiddeld hoger uitvallen dan het losgeld zelf. Basismaatregelen als offline back-ups, regelmatig patchen en netwerksegmentatie verlagen het risico en de impact aanzienlijk.
Achtergrond: van scareware tot professionele criminele operaties
Ransomware begon als relatief eenvoudige 'scareware': software die nep-waarschuwingen toonde — bijvoorbeeld van een zogenaamd rechtshandhavingsorgaan dat beweerde dat het systeem voor illegale activiteiten was gebruikt — zonder bestanden daadwerkelijk te versleutelen. Modernere varianten gebruiken robuuste versleuteling waarbij uitsluitend de aanvaller de privésleutel bezit.
Een bekende uitzondering op de 'e-mailbijlage'-route was de WannaCry-worm, die zich automatisch tussen computers verspreidde zonder tussenkomst van een gebruiker.
Soms lukt het herstel toch zónder losgeld te betalen: door implementatiefouten in de ransomware, uitgelekte cryptografische sleutels, of omdat er in werkelijkheid helemaal geen versleuteling plaatsvond.
Financiële omvang
De schaal van de schade is aanzienlijk:
- 2018 (eerste halfjaar): 181,5 miljoen aanvallen, een stijging van 229% ten opzichte van een jaar eerder.
- 2020: het Amerikaanse Internet Crime Complaint Center (IC3) ontving 2.474 meldingen met gecorrigeerde verliezen van meer dan 29,1 miljoen dollar; de FBI merkte op dat de werkelijke schade hoger kan liggen.
- 2021: circa 623 miljoen ransomware-aanvallen wereldwijd.
- 2022: circa 493 miljoen aanvallen wereldwijd.
- Losgeldbetaling: geschat op 1,1 miljard dollar in 2019, 999 miljoen in 2020, een recordbedrag van 1,25 miljard dollar in 2023, en een daling naar 813 miljoen dollar in 2024. Die daling wordt toegeschreven aan meer weigeringen door slachtoffers en handhavingsacties.
Historische voorbeelden uit de bron illustreren hoe lucratief de praktijk werd: CryptoLocker vergaarde naar schatting 3 miljoen dollar voordat het door autoriteiten werd neergehaald; CryptoWall bracht naar schatting meer dan 18 miljoen dollar op tot juni 2015, aldus de FBI.
In mei 2020 rapporteerde securitybedrijf Sophos dat de gemiddelde wereldwijde herstelkosten van een ransomware-aanval — inclusief stilstand, personeelstijd en apparatuurkosten — hoger liggen dan het losgeld zelf.
Betaalmethoden en traceerbaarheid
Aanvallers kiezen bewust voor betaalmethoden die moeilijk te traceren zijn. Naast Bitcoin en andere cryptovaluta zijn in het verleden ook prepaid-voucherdiensten (zoals Paysafecard), premiumtekstnummers en bankoverschrijvingen gebruikt. De keuze voor anonieme betaalmiddelen maakt vervolging lastig.
Het is in het belang van de aanvaller om na betaling daadwerkelijk te ontsleutelen: zodra bekend wordt dat betaling niets oplevert, stoppen slachtoffers met betalen.
Basismaatregelen
De bron noemt de volgende verdedigingslijnen:
- Back-ups — Regelmatige, offline back-ups zorgen ervoor dat bestanden hersteld kunnen worden zonder losgeld te betalen.
- Patchen — Veel ransomware maakt gebruik van bekende kwetsbaarheden in software en netwerksoftware. Tijdige updates sluiten die aanvalsroutes af.
- Netwerksegmentatie — Door netwerken op te delen, wordt de verspreiding van ransomware binnen een organisatie beperkt.
- Bewustwording — Omdat phishingmails een veelgebruikte besmettingsroute zijn, verkleint training van medewerkers de kans op een succesvolle aanval.
Als herstel zonder losgeld niet lukt, kan betaling de bestanden niet altijd terugbrengen: de aanvaller kan simpelweg verdwijnen met het geld. Dit benadrukt het belang van preventieve maatregelen boven reactieve.
Veelgestelde vragen
- Wat is ransomware precies?
- Ransomware is een vorm van malware die de bestanden van een slachtoffer versleutelt en pas na betaling van losgeld — doorgaans in cryptovaluta — een sleutel geeft om de bestanden te herstellen.
- Hoe raakt een computer of netwerk besmet met ransomware?
- De meest voorkomende routes zijn kwaadaardige e-mailbijlagen, links in phishingmails en kwetsbaarheden in netwerkdiensten. Sommige varianten, zoals de WannaCry-worm, verspreidden zich automatisch tussen computers zonder dat een gebruiker iets hoefde te doen.
- Moet je het losgeld betalen om je bestanden terug te krijgen?
- Niet altijd. Soms is herstel mogelijk zonder betaling, bijvoorbeeld door implementatiefouten in de ransomware of uitgelekte cryptografische sleutels. Betaling biedt bovendien geen garantie: de aanvaller kan na ontvangst van het geld verdwijnen zonder de decryptiesleutel te sturen.
- Welke basismaatregelen verminderen het risico op ransomware?
- Offline back-ups maken, software en netwerksystemen tijdig patchen, netwerken segmenteren om verspreiding te beperken, en medewerkers trainen om phishingpogingen te herkennen, zijn de maatregelen die de bron noemt.
- Hoe groot is de financiële schade door ransomware wereldwijd?
- Wereldwijde losgeldbetaling werd geschat op 1,25 miljard dollar in 2023 (een record) en daalde naar 813 miljoen dollar in 2024, mede door meer weigeringen van slachtoffers en handhavingsacties van autoriteiten. De totale schade — inclusief herstelkosten en stilstand — ligt doorgaans hoger dan het losgeld zelf.