Vlak voor het paasweekend werd Marks & Spencer getroffen door een van de ergste ransomware-aanvallen die het land de afgelopen jaren heeft meegemaakt. Andere grote retailers zoals Co-op volgden al snel. De totale financiële impact van alleen al deze twee incidenten is geschat tot £440 miljoen.
De waarheid is echter dat de meeste ransomware zich niet richt op dergelijke prominente organisaties. In plaats daarvan richten cybercriminelen zich op grotere aantallen kleinere bedrijven, waarvan er veel niet over de middelen of kennis beschikken om zich adequaat te verdedigen. Zoals nieuw onderzoek aantoont, komt dit hen duur te staan. Met de nieuwe wetgeving op het gebied van cybersecurity in aantocht, zou het opbouwen van veerkracht een dringende prioriteit moeten zijn.
Door de neus betalen
Het Verenigd Koninkrijk is al lange tijd een belangrijk doelwit voor ransomware-aanvallen, dankzij de relatieve welvaart en de sterk gedigitaliseerde economie. Maar er is een wereld van verschil tussen een aanval door ransomware en het stelen en/of versleutelen van gegevens. Betere cyberhygiëne en verbeterde detectie en respons kunnen de impact aanzienlijk beperken. Helaas lijkt dit niet te gebeuren, volgens een onderzoek van Sophos.
De beveiligingsleverancier ondervraagd meer dan 200 IT- en cybersecurity-leiders in het Verenigd Koninkrijk als onderdeel van een breder onderzoek naar de reacties van 3400 ransomware-slachtoffers. De stand van zaken rondom ransomware in het Verenigd Koninkrijk in 2025 blijkt dat maar liefst 70% van de Britse slachtoffers hun gegevens versleuteld had. Dit is veel hoger dan het wereldwijde gemiddelde van 50% en het cijfer van 46% dat Britse slachtoffers in 2024 rapporteerden.
In beide opzichten is dit zorgwekkend. Het lijkt erop dat minder ransomware-slachtoffers het inzicht in hun IT-omgeving hebben dat ze nodig hebben om te beseffen dat ze getroffen zijn. Het verschil tussen Co-op en M&S was dat eerstgenoemde investeerde in mogelijkheden voor incidentrespons, waardoor vermoedelijke inbraken werden gesignaleerd en het bedrijf de stekker uit zijn systemen kon trekken voordat deze versleuteld konden worden. De impact van de resulterende inbreuk was vervolgens minder ernstig.
Misschien was het daardoor dat slachtoffers in het Verenigd Koninkrijk het gevoel hadden dat ze geen andere keuze hadden dan hun afperser te betalen, gemiddeld 103% van het gevraagde losgeld, wat veel hoger is dan het wereldwijde gemiddelde van 85%. Dat is des te belangrijker omdat de mediane losgeldeis in het Verenigd Koninkrijk vorig jaar $ 5.4 miljoen (£ 3.9 miljoen) bedroeg – meer dan het dubbele van de $ 2.5 miljoen (£ 1.9 miljoen) die in het vorige onderzoek werd gerapporteerd. Zo'n 89% van de losgeldeis bedroeg $ 1 miljoen of meer, een stijging ten opzichte van 71% in 2024.
"Mijn ervaring leert dat de encryptiesnelheid nauw samenhangt met hoe snel een aanval wordt gedetecteerd, en vaak ook met de vraag of er vroeg genoeg hulp is ingeschakeld bij de respons op incidenten bij externe partijen", vertelt Chester Wisniewski, Global Field CISO bij Sophos, aan ISMS.online. "Organisaties met 24/7 monitoring en EDR/XDR-tools hebben doorgaans meer succes bij het stoppen van aanvallen. Maar al te vaak ontdekken slachtoffers de aanval pas wanneer ze de losgeldbrief ontvangen, wat veel te laat is."
Waar gaat het mis?
Uitgebuite kwetsbaarheden (36%), kwaadaardige e-mails (20%) en gecompromitteerde inloggegevens (19%) waren de belangrijkste oorzaken van eerste toegang onder ransomware-slachtoffers die door Sophos werden ondervraagd. Om deze en andere bedreigingen aan te pakken, beveelt de beveiligingsleverancier een vierstappenplan aan:
preventie: Verminder de meest voorkomende technische en operationele oorzaken van een aanval door veerkracht op te bouwen.
Bescherming: Verdedig de meest voorkomende toegangspunten voor ransomware-aanvallen, zoals eindpunten en servers. Speciale anti-ransomwaretools helpen bij het blokkeren en terugdraaien van kwaadaardige encryptie.
Detectie en reactie: Stop en beperk een aanval zo snel mogelijk voordat deze grote schade kan aanrichten. Organisaties die dit niet zelf kunnen, kunnen Managed Detection and Response (MDR) inzetten.
Vooruitplannen: Stel een incidentresponsplan op om het herstel na een aanval te stroomlijnen. Regelmatige offsite en offline back-ups versnellen het herstel eveneens.
"Cybercriminelen runnen zeer efficiënte ondernemingen; ze zijn uit op minimale output en maximale cash, dus het dubbel vergrendelen van je digitale deuren werkt als een behoorlijke afschrikking", betoogt Lauren Wilson, field CTO bij Splunk. "Maar voorkomen alleen is niet genoeg – je moet ook kunnen detecteren, reageren en herstellen om de bredere impact van ransomware echt te beperken."
Tijd om uit te lijnen
IT- en beveiligingsleiders in het Verenigd Koninkrijk moeten hun plannen voor ransomware-bestendigheid mogelijk herzien in het licht van de nieuwe wetgeving. nieuwe wet op cyberveiligheid en veerkracht is ingesteld om te verbieden Losgeldbetalingen voor overheidsinstanties en aanbieders van kritieke infrastructuur (CNI). Het zal nieuwe organisaties (zoals MSP's) binnen het bereik brengen. En het zal waarschijnlijk ook snellere en uitgebreidere incidentrapportage, risicomanagement door derden en sterkere beveiliging van de toeleveringsketen verplicht stellen. Het kan hogere boetes opleggen en zal zeker meer macht geven aan toezichthouders in de sector. Het streeft er ook naar om nauwer aan te sluiten bij NIS 2, ISO 27001, ISO 27002 en andere beveiligingsnormen en -kaders.
Dit is een geweldige kans voor degenen die al aan ISO 27001 werken om deze nieuwe eisen voor te zijn en hun cyberweerbaarheid op een kosten- en tijdbesparende manier te versterken. Wilson vertelt ISMS.online dat dergelijke normen "zijn ontworpen om de cybervolwassenheid te verhogen op een manier die iedereen ten goede komt".
Ze voegt eraan toe: "Een ding dat standaarden zoals NIST of ISO 27001 gemeen hebben, is dat ze organisaties helpen zich te concentreren op het op orde krijgen van de basis. Toegangscontrole, regelmatig patchen, het gebruik van multifactorauthenticatie en training voor alle medewerkers. Hoewel dit makkelijker gezegd dan gedaan is, kan het focussen op deze 'basis' een groot verschil maken in het voorkomen van een hoog percentage cyberaanvallen."
Wisniewski van Sophos is het eens met de waarde van best practice-normen.
"De overgrote meerderheid van de aanvallen kan worden voorkomen door consistent basiscontroles in te voeren in het hele systeem", betoogt hij. "Ons laatste Active Adversary-rapport laat zien dat de meeste ransomware-gevallen beginnen met gestolen inloggegevens of ongepatchte kwetsbaarheden, die beide worden gedekt door compliance-kaders."
Wilson concludeert dat compliance niet geïsoleerd kan worden aangepakt.
"Het moet worden gezien als onderdeel van een holistische cybersecuritystrategie die mensen, processen en technologie omvat", concludeert ze. "Organisaties moeten investeren in veerkracht. Dat betekent risico's begrijpen, verdedigingsmechanismen opbouwen en ervoor zorgen dat downtime tot een minimum wordt beperkt als de activiteiten offline worden gehaald."
