De Britse overheid hoopt de opkomst van ransomware-aanvallen aan te pakken door een verbod in te stellen op wat zij hun belangrijkste facilitator noemt: losgeldbetalingen. Het voorgestelde verbod, door ambtenaren omschreven als een "nieuw ransomware-betalingspreventieregime", zou voorkomen dat organisaties in de publieke sector, zoals lokale overheden en aanbieders van kritieke nationale infrastructuur (CNI) in sectoren als energie, water en gezondheidszorg, losgeld betalen nadat ze het slachtoffer zijn geworden van een ransomware-aanval.
Deze voorstellen, die momenteel in consultatie zijn, zouden ook private bedrijven dwingen om autoriteiten te informeren over hun intentie om hackers te betalen in het geval van een ransomware-aanval. En als de daders achter de ransomware-aanval een buitenlands land of een groep op de Britse sanctielijst vertegenwoordigen, zou de overheid kunnen ingrijpen en de betalingen kunnen stoppen. Ondertussen zouden zowel publieke als private organisaties ransomware-incidenten aan ambtenaren moeten melden, ongeacht of ze van plan zijn losgeld te betalen.
De reacties op deze voorstellen zijn echter gemengd, waarbij sommige experts beweren dat een verbod op ransomware-betalingen een goede zaak zou kunnen zijn, omdat het organisaties dwingt cybersecurity serieus te nemen. Sommigen vragen zich echter af of een verbod cybercriminelen daadwerkelijk zou afschrikken van cyberaanvallen en geloven dat organisaties in de publieke sector in precaire situaties terecht kunnen komen zonder de mogelijkheid om hackers te betalen. Hoe dan ook, het is een absolute must voor alle organisaties om maatregelen te treffen om ransomware-aanvallen te beperken, in te dammen en ervan te herstellen.
Gedwongen om cyberbeveiliging serieus te nemen
Als de Britse overheid doorgaat met het voorgestelde verbod op ransomwarebetalingen, zou dat een significante verandering zijn in de eerder hands-off-benadering van cyberrisico's. Sean Tilley, senior sales director van EMEA bij cloudplatform 11:11 Systems, beschrijft het als een "significante verschuiving" in het cybersecuritybeleid van de overheid, die belooft het aantal ransomwareaanvallen gericht op organisaties in de publieke sector te verminderen door de financiële beloningen voor hackers te verminderen.
Tilley zegt echter dat overheidsinstanties en CNI-operators een "proactieve herbeoordeling" van hun cybersecuritystrategieën moeten uitvoeren om zo'n verbod effectief te laten zijn. Zonder de optie om hackers te betalen om gestolen of vergrendelde gegevens te herstellen, zouden organisaties volgens hem sterke verdedigingsmaatregelen en herstelplannen moeten implementeren. Hij voegt toe: "Deze verschuiving onderstreept het belang van investeren in uitgebreide cybersecuritykaders om kritieke activiteiten te beschermen."
Jake Moore, wereldwijd cybersecurityadviseur bij antivirusmaker ESET, is het ermee eens dat een verbod op ransomwarebetalingen een grote verandering zou zijn voor getroffen organisaties. Hij zegt dat het organisaties zou dwingen hun cyberverdediging te versterken met nieuwe benaderingen waarmee ze kunnen herstellen van ransomwareaanvallen zonder in te boeten aan losgeld van hackers.
Net als Tilley zegt Moore dat organisaties hun aandacht moeten verleggen naar robuuste cybersecuritymaatregelen, back-ups en incidentresponsplannen onder deze nieuwe regels. Maar gezien de snelle snelheid waarmee het online bedreigingslandschap evolueert, maakt hij zich zorgen dat organisaties nog steeds het slachtoffer kunnen worden van malware-aanvallen met losgeldeisen, ondanks nieuwe en verbeterde mitigerende inspanningen. Bijgevolg gelooft hij dat datalekken "een probleem zullen blijven".
Het verbod kan mislukken
Hoewel het redelijk lijkt dat het verbieden van betalingen via ransomware hackers zou ontmoedigen om aanvallen uit te voeren en organisaties zou dwingen andere manieren te vinden om deze aanvallen te beperken, betwijfelen sommige deskundigen of dit in de praktijk wel werkt.
Dan Kitchen, CEO van IT-managed services provider Razorblue, stelt vragen over het verplichte rapportage-element van het voorgestelde verbod op ransomware-betalingen. Hij is met name bezorgd dat openbare bekendmaking van ransomware-aanvallen en de reputatieschade die dit kan veroorzaken, ertoe kan leiden dat sommige organisaties incidenten verdoezelen. Hij vreest dat dit het verbod ineffectief zou maken.
In plaats van ransomwarebetalingen te verbieden, suggereert Kitchen dat door de overheid gesteunde initiatieven zoals het Cyber Essentials-certificeringsschema een praktischer aanpak zijn om ransomwareaanvallen aan te pakken. Kitchen legt uit dat dit soort programma's organisaties de "ideale basis" bieden om hun cyberbeveiliging te verbeteren. Hij moedigt bedrijven echter aan om een stap verder te gaan door uitgebreide incidentresponsplannen te creëren in samenwerking met de overheid en branchegenoten, wat "de algehele nationale respons op cybercriminaliteit zou verbeteren".
Crystal Morin, cybersecuritystrateeg bij IT-beveiligingssoftwarebedrijf Sysdig, verwacht ook grote problemen als de overheid haar voorgestelde verbod op ransomwarebetalingen implementeert. Ze suggereert dat als kritieke service- en infrastructuurorganisaties zoals zorgaanbieders een ransomwareaanval krijgen en hun systemen niet snel weer aan de praat krijgen door losgeld te betalen, er levens in gevaar kunnen komen.
"In de praktijk van vandaag zou de verantwoordelijkheid bij de slachtofferorganisatie moeten liggen om te beslissen of ze een ransomware-betaling doen", zegt ze. "Alleen getroffen bedrijven hebben voldoende inzicht om de potentiële risico's en impact van wel of niet betalen af te wegen."
Morin dringt er bij de overheid op aan om noodplannen te overwegen voordat ransomware-betalingen in de publieke sector worden verboden. Organisaties in de publieke sector zouden namelijk middelen nodig hebben om hun veerkracht tegen cyberinbreuken te verbeteren en ervoor te zorgen dat hun back-upplannen effectief zijn.
Ze gelooft dat extra ondersteuning ook nodig zou zijn voor kritieke services en infrastructuurproviders die veel te verliezen hebben door geen losgeld te betalen na een ransomware-aanval. Ze beschrijft dit als een "centrum van excellente aanpak" en zegt dat het ervoor zou zorgen dat organisaties "beter voorbereid" zijn om te reageren op en te herstellen van ransomware-aanvallen.
Ze voegt toe: "Over het algemeen zullen bans aanvallers alleen maar aanmoedigen om hun tactiek te veranderen, en meer heimelijk te werk te gaan in hun operaties, verzoeken en transacties. Het is een lucratieve tak van werk die niet snel zal verdwijnen."
Ransomware-aanvallen beperken
Zelfs als er een betalingsverbod voor ransomware in het Verenigd Koninkrijk geldt, kunnen talloze best practices organisaties helpen ransomware-aanvallen te beperken. Morin raadt organisaties aan te investeren in robuuste maatregelen voor detectie en respons op bedreigingen, regelmatig een back-up van hun gegevens te maken en hun cloudomgevingen te segmenteren om mogelijke inbreuken te beperken. Deze stappen zullen "hun infrastructuur versterken en herstel vergemakkelijken in het geval dat ze weigeren te betalen."
Volgens Tilley van 11:11 Systems kunnen zero-trustarchitecturen ook helpen ransomware-aanvallen te voorkomen door ervoor te zorgen dat gebruikers alleen de toegangsrechten hebben die nodig zijn om hun werk te doen. Maar als u deze route volgt, is het belangrijk om toegangsrechten regelmatig te beoordelen en te wijzigen.
Omdat ransomware-aanvallen vaak plaatsvinden door menselijke fouten, zoals het klikken op een schadelijke link in een e-mail of het instellen van een zwak wachtwoord, is het ook belangrijk om werknemers te informeren over cybersecurityrisico's. Tilley zegt dat cybersecurity-bewustwordingsprogramma's informatie moeten bevatten over phishing, social engineering en andere veelvoorkomende online bedreigingen.
Naast het targeten van slecht opgeleide gebruikers om ransomware-aanvallen te verspreiden, kunnen hackers ook verouderde software gebruiken als toegangspunt. Organisaties kunnen het zich dus niet veroorloven om het belang van patchbeheer te negeren. Volgens Tilley betekent de opkomst van ransomware-aanvallen dat organisaties "een rigoureus proces nodig hebben om beveiligingspatches en updates snel toe te passen op alle systemen en software".
Gezien het feit dat het online bedreigingslandschap zich snel ontwikkelt, zegt Tilley dat organisaties hun incidentmanagementprocessen voortdurend moeten verbeteren door "regelmatige oefeningen en post-incident reviews" uit te voeren. Hij voegt toe: "Een goed gestructureerd incidentresponsplan stelt organisaties in staat om beveiligingsincidenten snel te identificeren, in te dammen en te verhelpen, waardoor de kans op een ramp tot een minimum wordt beperkt.
operationele verstoring.”
Maar het maken van zo'n plan hoeft niet moeilijk te zijn. Tilley zegt dat professionele branchekaders zoals ISO 27001 veel van de best practices bieden die nodig zijn om ransomware en andere cyberdreigingen te beperken. Bovendien zal het naleven van deze best practices laten zien dat een organisatie toegewijd is aan cybersecurity en het helpen een "voortdurende cultuur van beveiligingsverbetering" te bevorderen, voegt hij toe.
Een verbod op betalingen voor ransomware zal het belang van gestroomlijnde incidentrapportageprocessen vergroten, aldus Moore van ESET. Hij zegt dat organisaties zich op deze onvermijdelijkheid moeten voorbereiden door geautomatiseerde tools te gebruiken voor het volgen van incidenten en door regelgeving zoals GDPR en NIS2 nauwlettend te volgen. Hij voegt toe: "Bekwame nalevingsaudits en duidelijke communicatiekanalen helpen ook met meer open duidelijkheid, wat essentieel is voor het begrijpen van een aanval en het verdergaan."
Over het algemeen lijkt een verbod op ransomware-betalingen een goed idee, omdat het boeven afschrikt van ransomware-aanvallen omdat ze er niets aan hebben. Maar de zaken liggen veel genuanceerder. De realiteit is dat, zelfs als ransomware-betalingen worden verboden, hackers hun inspanningen gewoon zullen richten op andere aanvalsvectoren of op sectoren die niet onder het algehele verbod vallen. Zonder cybercriminelen te kunnen betalen die ransomware-aanvallen uitvoeren, kunnen de publieke sector en cruciale nationale operatoren ernstige verstoringen van hun activiteiten ervaren, waardoor levens in gevaar kunnen komen.
Een betere aanpak zou kunnen zijn dat de overheid meer ondersteuning en middelen biedt om organisaties te helpen ransomware-aanvallen af te schrikken, waarbij losgeldbetalingen het laatste redmiddel zijn, maar niet helemaal uitgesloten. Hoe dan ook, ransomware-aanvallen blijven groeien in omvang en verfijning. Organisaties kunnen het zich dus niet veroorloven om dit feit te negeren en hun hoede te laten zakken.
