Ransomware

Wat is ransomware?

Ransomware is kwaadaardige software die bestanden of complete systemen versleutelt of blokkeert en vervolgens losgeld eist, meestal in cryptovaluta, in ruil voor een sleutel om de toegang te herstellen. Moderne aanvallers stelen daarnaast eerst gevoelige data en dreigen die te publiceren, zodat een goede back-up alleen niet meer volstaat. Voor bedrijven, overheden, zorginstellingen en industriële organisaties is ransomware een van de meest ontwrichtende vormen van cybercriminaliteit. In industriële omgevingen kan een aanval die in het kantoornetwerk begint binnen dagen hele productielijnen stilleggen.

🧠 Hoe verloopt een ransomware-aanval?

Een moderne aanval is geen virus dat toevallig binnenkomt, maar een operatie die dagen tot weken duurt. De stappen sluiten aan op de Cyber Kill Chain en MITRE ATT&CK for ICS:

1. Initiële toegang - via phishing, gestolen wachtwoorden, een VPN of RDP zonder MFA, een kwetsbaarheid in een internetgerichte applicatie of een gecompromitteerde leverancier met remote access.
2. Verankering en verkenning - de aanvaller installeert beheertools, brengt het netwerk in kaart en zoekt naar beheeraccounts.
3. Laterale beweging - via Active Directory en de domain controller verkrijgt de aanvaller domeinbeheerrechten en verspreidt zich naar servers, back-upsystemen en soms de OT-omgeving.
4. Data-exfiltratie - gevoelige bestanden worden naar buiten gekopieerd als drukmiddel.
5. Back-ups uitschakelen - schaduwkopieën worden verwijderd en online back-ups versleuteld of gewist.
6. Versleuteling - snelle symmetrische encryptie van bestanden, waarvan de sleutel weer met de publieke sleutel van de aanvaller wordt versleuteld; zonder diens privésleutel is herstel vrijwel onmogelijk.
7. Afpersing - een losgeldbericht met een betaaltermijn en een verwijzing naar een lekwebsite.

📦 Welke soorten ransomware en afpersing bestaan er?

Dubbele afpersing werd eind 2019 gemeengoed toen de Maze-groep gestolen data publiceerde van een slachtoffer dat weigerde te betalen. Sindsdien werken vrijwel alle grote groepen zo.

💼 Wat is Ransomware-as-a-Service (RaaS)?

Bij Ransomware-as-a-Service ontwikkelt een kerngroep de ransomware, de betaalinfrastructuur en de lekwebsite, en verhuurt die aan affiliates die de inbraken uitvoeren. De opbrengst wordt gedeeld, waarbij de affiliate doorgaans het grootste deel krijgt, vaak 70 tot 80 procent. Daarnaast verkopen initial access brokers kant-en-klare toegang tot bedrijfsnetwerken. Dit verdienmodel verklaart de schaal: LockBit maakte tussen eind 2019 en begin 2024 wereldwijd ruim 2.500 slachtoffers, tot een internationale politieoperatie (Operation Cronos) in februari 2024 de infrastructuur in beslag nam. Na zulke acties splitsen affiliates zich op en ontstaan snel nieuwe merken.

🏭 Wat doet ransomware in OT- en ICS-omgevingen?

Ransomware versleutelt zelden de logica in een PLC zelf. De schade zit in de Windows-lagen erboven: HMI-stations, SCADA-servers, de historian, het engineering station en de koppelingen met planning en logistiek. Zonder zicht en bediening moet een operator het proces vaak stilleggen, ook als de besturing nog draait. Sommige varianten, zoals EKANS (2019), bevatten een lijst van tientallen processen die ze eerst stoppen, waaronder historian- en HMI-software van grote ICS-leveranciers.

Volgens het OT-jaaroverzicht van Dragos troffen in 2025 maar liefst 119 ransomwaregroepen samen zo’n 3.300 industriële organisaties, waarvan ruim twee derde in de maakindustrie. De gemiddelde verblijftijd in OT-omgevingen was 42 dagen, tegenover ongeveer 5 dagen bij organisaties met goede OT-monitoring.

🔐 Hoe beschermt u zich tegen ransomware?

Hanteer voor back-ups de 3-2-1-1-0-regel: drie kopieën, op twee soorten media, één buiten de locatie, één offline of onveranderbaar en nul fouten bij hersteltests. Combineer preventie met detectie, bijvoorbeeld via een OT SOC, en sterke authenticatie.

🧭 Hoe pakt u een ransomware-incident stap voor stap aan?

1. Isoleer getroffen systemen en de koppeling tussen IT en OT, maar zet machines niet zomaar uit: het geheugen bevat sporen voor forensisch onderzoek.
2. Activeer het incidentresponsplan en het crisisteam, met vooraf afgesproken rollen en een papieren contactlijst.
3. Breng het proces in een veilige toestand: draai handmatig of stop gecontroleerd; veiligheid gaat voor productie.
4. Meld en doe aangifte bij de politie, schakel het NCSC of uw sectorale CSIRT in en meld een datalek op grond van de AVG binnen 72 uur bij de Autoriteit Persoonsgegevens.
5. Zoek een decryptor op No More Ransom, het platform dat de Nederlandse politie, Europol, Kaspersky en McAfee in juli 2016 lanceerden.
6. Herstel vanaf schone back-ups, pas nadat de toegangsweg is gedicht en alle wachtwoorden zijn vervangen; volg de recovery-volgorde uit uw disaster recovery-plan.

Moet u losgeld betalen?

Het NCSC en de politie adviseren niet te betalen: er is geen garantie op werkende sleutels, u financiert criminaliteit en u kunt opnieuw worden afgeperst. Ook na betaling blijft gestolen data in handen van de aanvaller. Een cyberverzekering dekt niet altijd losgeld, en betalen aan partijen op een sanctielijst is verboden.

Welke meldplicht geldt in Nederland?

De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, geldt sinds 15 augustus 2026. Essentiële en belangrijke entiteiten melden een significant incident binnen 24 uur met een vroegtijdige waarschuwing, binnen 72 uur met een incidentmelding en binnen een maand met een eindrapport. Een ransomware-aanval die de dienstverlening raakt, valt daar vrijwel altijd onder.

❓ Veelgestelde vragen

Wat is het verschil tussen ransomware en een wiper?

Ransomware versleutelt data met de bedoeling die tegen betaling vrij te geven, terwijl een wiper data onherstelbaar vernietigt. NotPetya leek in 2017 op ransomware, maar kon zelfs na betaling niets ontsleutelen. Bij een wiper is herstel uit back-up de enige weg.

Kan ransomware een PLC versleutelen?

Gangbare ransomware richt zich op Windows-systemen en versleutelt de logica in een PLC niet. Toch kan ransomware een productieproces stilleggen, omdat HMI-stations, SCADA-servers en engineering stations wel worden getroffen. Zonder bediening en zicht besluit de operator het proces vaak te stoppen. De cyberaanval op Jaguar Land Rover in 2025 liet zien dat ook een getroffen IT-omgeving een autofabriek wekenlang kan stilleggen.

Waarom is MFA zo belangrijk tegen ransomware?

Veel ransomware-aanvallen beginnen met een gestolen of geraden wachtwoord op een VPN, RDP-verbinding of beheeraccount. MFA voorkomt dat zo’n wachtwoord alleen voldoende is om binnen te komen. Bij Colonial Pipeline en Hof van Twente ontbrak MFA op precies het account dat werd misbruikt.

Helpen back-ups nog tegen moderne ransomware?

Back-ups blijven de belangrijkste verdediging tegen versleuteling, mits ze offline of onveranderbaar zijn en regelmatig getest worden. Aanvallers zoeken actief naar online back-ups om die eerst te wissen. Tegen de publicatie van gestolen data bij dubbele afpersing bieden back-ups echter geen bescherming.

Hoe lang duurt herstel na een ransomware-aanval?

Herstel na ransomware duurt meestal dagen tot weken, en volledige normalisatie soms maanden. Colonial Pipeline lag zes dagen stil, Norsk Hydro werkte wekenlang deels handmatig. Een geoefend herstelplan met een vaste volgorde van systemen verkort de stilstand aanzienlijk.

Wat is No More Ransom?

No More Ransom is een gratis platform van onder meer de Nederlandse politie en Europol met decryptietools voor ruim 150 ransomwarefamilies. Slachtoffers kunnen er een versleuteld bestand en het losgeldbericht uploaden om de variant te herkennen. Voor nieuwe varianten is er lang niet altijd een decryptor beschikbaar.

📌 Samengevat

Ransomware is afpersingssoftware die systemen versleutelt en data steelt, en in industriële omgevingen via getroffen HMI’s, servers en afhankelijkheden hele productieprocessen kan stilleggen. MFA, patchen, segmentatie tussen IT en OT, offline of onveranderbare back-ups en een geoefend responsplan bepalen of een aanval een incident blijft of een crisis wordt.