Cybercriminelen hacken meer Nederlandse bedrijven: afkoopsom vaak boven miljoen euro

Dat is een flinke stijging ten opzichte van twee jaar geleden. En met het losgeld dat de KNVB betaalt is het hek nu echt van de dam, waarschuwen cyberspecialisten.

De MKB Cyber Campus, een door de overheid gesubsidieerde cyberbeveiligingsorganisatie, vreest dat de onderhandeling tussen de KNVB en hackerscollectief Lockbit grote gevolgen gaat hebben voor bijvoorbeeld voetbalclubs en kleinere ondernemers. ,,Zij zullen denken: als de KNVB het nodig vindt om losgeld te betalen, dan doen wij dat ook maar. We zien het nu al om ons heen gebeuren: bedrijven die flinke sommen geld overmaken zonder dat ze écht zeker weten of er data zijn verdwenen. Dat is echt heel zorgelijk”, zo spreekt voorzitter Erik Miedema zijn zorgen uit.

Ransomware: grootste, nieuwe bedreiging

Als het gaat om ransomware spreken onderzoekers van verontrustende ontwikkelingen. De cijfers liegen er niet om: één op de vier Nederlandse organisaties is het afgelopen jaar getroffen door ransomware, en bijna 80 procent daarvan heeft losgeld betaald, blijkt uit een rapportage van Hiscox Verzekeringen. In de ICT- en handelssector komt het losgeld vaak boven het miljoen uit. In andere sectoren wordt vaak een miljoen euro losgeld gevraagd, zo blijkt dan weer uit een onderzoek van het Wetenschappelijk Onderzoek en Documentatiecentrum (WODC) naar politie-aangiftes.

Ransomware is daarmee volgens de overheid een van de grootste nieuwe bedreigingen voor onze veiligheid. Deze kwaadaardige software walst op grote schaal de computersystemen van Nederlandse bedrijven binnen om data te stelen. Alleen tegen betaling van grote sommen losgeld kunnen organisaties zoals dus de KNVB voorkomen dat die vaak vertrouwelijke gegevens op straat komen te liggen.

Cyberverzekering

Bedrijven die overgaan tot het betalen van losgeld, kunnen dit (deels) vergoed krijgen via een cyberverzekering. Zo’n 20 procent van de Nederlandse bedrijven heeft zo’n verzekering en dat aantal blijft groeien, meldt het Verbond van Verzekeraars. Het gaat voornamelijk om grotere bedrijven, aangezien die steeds vaker slachtoffer worden. De voorbeelden zijn legio. Zo zorgde een aanval op containerterminals in de Rotterdamse haven in 2017 voor enorme schadepost van enkele honderden miljoenen euro’s. Andere voorbeelden van aanvallen met grote impact zijn die op de Universiteit Maastricht, het ROC Mondriaan en de Gemeente Hof van Twente.

Of deze partijen en ook de KNVB zich verzekerd hadden, willen de verzekeraars niet bevestigen. In het geval dat KNVB een verzekering heeft moet de bond aan héél strenge eisen hebben voldaan om kans te maken, zegt Marie-Louise de Smit, cyberspecialist bij verzekeringsadviseur Aon. ,,Als je bij een woninginbraak bijvoorbeeld de deuren open hebt staan, is de kans klein dat je iets vergoed krijgt. Zo ook bij cybercrime: als jij je systemen niet goed genoeg hebt beschermd, dan kun je zelfs helemáál geen verzekering meer krijgen.”

Deze ultrastrenge voorwaarden hebben uiteindelijk tot doel om zoveel mogelijk veiligheid in te bouwen en risico’s uit te sluiten, meldt het Verbond van Verzekeraars. Voormalig justitieminister Ferd Grapperhaus is geen fan van dit soort afspraken en probeerde in zijn functie zelfs een verbod in te stellen op het vergoeden van losgeld. Verzekeraars zouden volgens hem hiermee cybercriminaliteit in stand houden.

Volgens deskundigen geen vreemde opvatting. Criminelen zouden zelfs specifiek op zoek zijn naar verzekerde bedrijven. De kans dat die betalen is namelijk een stuk groter. Het ministerie van Veiligheid en Justitie laat woensdag weten dat een verbod geen zin heeft. ,,We kijken internationaal naar oplossingen die kunnen bijdragen aan verminderen van losgeldbetalingen. Een nationaal verbod lost dit probleem niet op omdat dit een internationale kwestie is.”

Kritiek

Intussen krijgt de KNVB er flink van langs. Volgens de Autoriteit Persoonsgegevens houden zij met het betalen van losgeld ‘een verwerpelijk verdienmodel’ van criminelen in stand. Het kabinet is het daarmee eens en zegt dat hiermee criminelen financiële steun krijgen om zo een ‘volgende aanval te plegen’. Verzekeringsspecialisten snappen weinig van die kritiek.

,,Het gaat hier om paspoorten, woonadressen en salarisgegevens. Dat kan een behoorlijke schade opleveren, voor sommige bedrijven kan een cyberincident zelfs tientallen miljoenen euro’s kosten’’, zegt cyberspecialist De Smit. ,,Ik vind het dus niet gek dat ze betalen. Er zit wat mij betreft een heel taboe op het betalen van losgeld. En een soort schaamte: zo van, ik heb het niet goed gedaan. Maar geloof mij: zelfs met de beste beveiliging van de wereld loop je het risico op een cyberaanval.”

Tegenwoordig zijn zelfs ziekenhuizen, goede doelen en andere voorheen ‘minder aantrekkelijke sectoren’ ook al niet meer veilig, stelt Dave Maasland, ceo van beveiligingsbedrijf ESET Nederland. ,,Bendes worden alsmaar agressiever. En er is niet één oplossing, maar elke oplossing begint in ieder geval met ‘samen’: meer praten over de impact, meer kennis uitwisselen, meer verzekeren, en meer aandacht voor digitale hygiëne. Want laten we niet vergeten: ransomware is vooral een symptoom van een probleem: namelijk een gebrek aan digitale hygiëne en de georganiseerde misdaad die op zoek is naar nieuwe verdienmodellen.

Nederland extra kwetsbaar voor cyberaanvallen

Saillant detail is dat Nederlandse bedrijven en organisaties, zoals dus de KNVB, bijzonder aantrekkelijk blijken voor hackers. Wereldwijd staat Nederland op de twaalfde plek, hoger dan grote landen als China, Japan en Mexico. Dat heeft volgens De Smit te maken met het feit dat Nederland een van de meest gedigitaliseerde landen ter wereld is. ,,Dat is hartstikke mooi, maar het heeft wel als bijkomend nadeel dat we extra kwetsbaar zijn voor cyberaanvallen van buitenaf. Dat betekent dat het belangrijk is om je hiervoor te verzekeren, het kan namelijk iedereen overkomen. Maar bovenal verdient het bestrijden van cybercrime de allerhoogste prioriteit.”

Het bestrijden van die digitale criminaliteit blijkt overigens een zéér lastige opgave. De politie stelt om te beginnen dat weinig slachtoffers aangifte doen. In 2021 en 2022 ontving de politie slechts 107 en 110 aangiftes van ransomware, terwijl het aantal slachtoffers een heel stuk hoger ligt. Daarnaast is het zo dat het oprollen van een ransomware-groep als bijvoorbeeld Lockbit vaak leidt tot het ontstaan van een nieuwe groep met weer nieuwe software, zo blijkt uit de studie van het WODC. Ten slotte is het zo dat die groepen steeds meer als legitiem ogende bedrijven opereren, waarbij ze zelfs kwaadaardige software aanbieden aan andere cybercriminelen.