Cybercriminaliteit: game on!

Met mijn collega loop ik de melding door. MKB-bedrijf. Ransomwareattack. Verzoek (beter gezegd: "opdracht") om binnen 30 minuten een bedrag van € 30.000 over te maken. Niet gewoon in euro's, maar in bitcoins. Als de melder dat niet doet komen alle klantdata op straat te liggen. Straat moet je hier niet al te letterlijk nemen. Het risico is veel groter: de data zal terug te vinden zijn op het darkweb en daarmee een onnavolgbare route afleggen waar wij geen enkel weet van hebben. Mijn collega geeft aan dat het een redelijk eenvoudige opdracht betreft omdat de verzekerde feitelijk maar twee vragen heeft. De eerste vraag is "gaan we betalen?". De tweede vraag geeft eigenlijk al aan wat de verzekerde zelf meent te moeten doen, want de vraag luidt "waar haal ik zo snel die bitcoins vandaan?".

Ik krijg het spontaan nog warmer. Mijn secretaresse vraag ik om mijn bespreking te verzetten. Want dit ga ik echt niet onderweg even snel regelen. Om deze ransomwareattack zonder kleerscheuren te overleven moeten we slim en snel spelen. Ik vind dat betalingen aan het criminele milieu niet zouden moeten plaats vinden. Ik begrijp dat sommige partijen uit paniek toch de keuze maken om te betalen. Maar door te betalen houden we de criminele activiteit succesvol en daarmee ook in stand. Bovendien heb je geen enkele garantie dat de data daarna niet langer in het bezit is van criminelen.

Kortom, beter je geld bij je houden. De verzekerde begrijpt mijn standpunt en is ermee akkoord dat we geen betalingen gaan verrichten. Ik leg de verzekerde uit welke stappen we kunnen gaan nemen. We doen een beroep op één van onze netwerkpartners op het terrein van IT en vragen onderzoek te doen naar de herkomst van de ransomeware attack en te beoordelen of er daadwerkelijk data buit is gemaakt (zodat ik kan beoordelen of het hier om gevoelige data in de zin van de AVG betreft) maar tevens alles in het werk te stellen om ervoor te zorgen dat alle noodzakelijke data beschikbaar blijft en de continuïteit van verzekerde gewaarborgd blijft.

Na een urenlang onderzoek krijgen we het verlossende woord van onze IT partner. Dankzij de backups zal er geen data verloren gaan, en de data die is buit gemaakt betreft geen gevoelige data. Geen verplichte melding aan de autoriteit persoonsgegevens en geen mogelijke boete. Een opluchting voor verzekerde! Dat betekent bovendien dat we de backups op een nieuwe server kunnen plaatsen en dat daarmee de continuïteit is gewaarborgd. Daar is het IT bedrijf nog wel een paar dagen mee bezig, maar dit had zo veel vervelender kunnen verlopen. Ik ben oprecht blij voor verzekerde.

Ik wil natuurlijk nog wel graag weten hoe de criminelen hebben kunnen slagen in hun actie. Mijn contactpersoon bij het IT bedrijf informeert met dat het wachtwoord van het administrator account bij de derde poging al werd geraden. Ik vraag voorzichtig, heel voorzichtig, wat het wachtwoord dan wel niet was. Het blijft even stil. Dan volgt het antwoord.

Welkom123.

Nou, een warm welkom was het zeker. De rode loper lag nog net niet uit voor deze crimineel. Ik vraag me af "hoe kan dit nou gebeuren?".

Dit is niet de eerste keer dat we dit meemaken. Ook niet de laatste keer. Daar ben ik van overtuigd. Cybercriminaliteit is niet meer weg te denken uit ons dagelijkse leven. Het is een illusie te denken dat je elke vorm van cybercriminaliteit voor kunt zijn. Maar je kunt wel terugvechten! Terugvechten is in mijn beleving niet alleen de juiste keuzes maken nadat een incident zich heeft voorgedaan. Integendeel. Voor mij begint het spel al lang voordat de crimineel zijn oog op je heeft laten vallen.

Maar een spel wordt pas leuk als je een gelijkwaardige tegenstander bent. Als je ervoor zorgt dat je net zo slim en sterk bent als degene die je tegenover je hebt. Spel spelen is pas echt leuk als je weet dat je een reële kans hebt om te winnen. But...no guts, no glory!

Ok. We zijn het er dus over eens. We vechten terug, en wel vanaf dag 1. Maar de grote vraag is dan vaak: hoe doen we dat? Voorbereiding is alles! Dat betekent enerzijds natuurlijk dat de IT kant op orde dient te zijn (belangrijke updates uitvoeren, goede firewall, altijd zorg dragen voor goede backups), maar anderzijds is het net zo belangrijk dat alle medewerkers van een bedrijf bedacht zijn op risico's en weten hoe ze moeten handelen. Dus geen simpele, makkelijk te raden wachtwoorden die nooit worden vervangen. Geen wachtwoorden delen met derden. Niet zo maar links openen die in een mail zitten als je niet duizend procent zeker bent dat de afzender te vertrouwen is (en trap ook niet in mensen die zich voordoen als een bekende). Maar ook geen laptops of USB sticks laten slingeren, etc. Medewerkers hebben veel om over na te denken en alert op te zijn.Dat gaat niet vanzelf. Daar moeten ze op gewezen worden. En nog een keer. En nog een keer. Er is nog zo veel te doen. En nog zo veel te winnen.

Als ik de dag erna achter mijn bureau zit en mijn telefoon weer gaat, ben ik "Welkom 123" alweer vergeten. Ik kijk op het scherm en vraag me af wat ons vandaag te wachten staat. Dit keer geen ransomware attack maar een medewerker die dus een linkje heeft geopend waar ze beter van af had kunnen blijven. We rennen en vliegen voor de klant. We lossen het probleem op. We voorkomen erger. Maar we maken wel kosten. We zien een hoop onrust en onzekerheid. Ook hier geldt weer "voorkomen is beter dan genezen".

En zo is er elke dag wel iets. We zijn erin getraind. We zijn gek op ons vak. Maar beste ondernemers, we zouden toch echt liever zien dat jullie over dit soort dingen beter na gaan denken en jullie medewerkers beter alert maken. Want de ellende die we zien weegt niet op tegen de omzet die wij maken. Wij verdienen ons geld liever aan de voorkant.  Op het moment dat jullie nog blaken van het zelfvertrouwen en het de onderneming nog voor de wind gaat. Die gesprekken verlopen een stuk relaxter dan wanneer de crisis op het hoogtepunt is en een ieder vreest voor de consequenties.

Game on!

- Rianne Baumann
Operations Director, Crawford & Company