Tijdens de covid-19-crisis heeft zich in de cyberwereld een andere uitbraak voorgedaan: een digitale pandemie in ransomware. Malware-aanvallen waarbij bedrijfsgegevens en -systemen worden versleuteld en losgeld wordt gevraagd voor vrijgave nemen wereldwijd een hoge vlucht. De toenemende frequentie en ernst van ransomware-incidenten wordt veroorzaakt door verschillende factoren: het groeiende aantal verschillende aanvalspatronen, zoals dubbele en drievoudige afpersingscampagnes; een crimineel bedrijfsmodel rond ‘ransomware as a service’ en cryptocurrencies; de recente torenhoge losgeldeisen; en de opkomst van aanvallen op de toeleveringsketen. In een nieuw rapport analyseert cyberverzekeraar Allianz Global Corporate & Specialty (AGCS) de laatste risico-ontwikkelingen rond ransomware en schetst hoe bedrijven hun verdediging kunnen versterken met goede cybermaatregelen en IT-beveiligingspraktijken.

“Het aantal ransomware-aanvallen kan zelfs nog toenemen voordat de situatie beter wordt”, zegt Scott Sayce, Global Head of Cyber bij AGCS. “Niet alle aanvallen zijn gericht. Criminelen hanteren ook een scattergun-aanpak om bedrijven te bedreigen die de kwetsbaarheden die ze mogelijk hebben niet aanpakken of zelfs maar begrijpen. Als verzekeraars moeten we met onze klanten blijven samenwerken om bedrijven te laten inzien dat ze hun beveiliging moeten versterken. Tegelijkertijd is het in de snel evoluerende cyberverzekeringsmarkt van vandaag de norm geworden om zowel noodhulpdiensten als financiële compensatie te bieden.”

Volgens Accenture sprong de cyberinbraakactiviteit wereldwijd met 125% in de eerste helft van 2021, vergeleken met het voorgaande jaar. Ransomware en afpersing waren de belangrijkste oorzaken achter deze toename. Volgens de FBI was er in dezelfde periode een toename van 62% in ransomware-incidenten in de VS, die volgde op een toename van 20% voor het volledige jaar 2020. Deze trends op het gebied van cyberrisico’s worden weerspiegeld in de eigen schade-ervaringen van AGCS. AGCS was in 2020 betrokken bij meer dan duizend cyberclaims in totaal, tegen ongeveer 80 in 2016; het aantal ransomware-claims (90) steeg met 50% ten opzichte van 2019 (60). In het algemeen zijn verliezen als gevolg van externe cyberincidenten zoals ransomware of Distributed Denial of Service (DDoS)-aanvallen goed voor het grootste deel van de waarde van alle cyberclaims die AGCS de afgelopen zes jaar heeft geanalyseerd.

De toenemende afhankelijkheid van digitalisering, de stijging in remote-werken tijdens covid-19, en IT-budgetbeperkingen zijn slechts enkele van de redenen waarom IT-kwetsbaarheden zijn toegenomen, waardoor criminelen talloze toegangspunten hebben om misbruiken. De bredere invoering van cryptocurrencies, zoals bitcoin, die anonieme betalingen mogelijk maken, is een andere belangrijke factor in de toename van ransomware-incidenten.

In het rapport identificeert AGCS vijf trends in de ransomware-wereld, hoewel deze voortdurend in ontwikkeling zijn en snel kunnen veranderen in de ‘kat en muis’-race tussen cybercriminelen en bedrijven:

1. De ontwikkeling van ‘ransomware as a service’ heeft het voor criminelen eenvoudiger gemaakt om aanvallen uit te voeren. Hackersgroepen als REvil en Darkside worden gerund als een commercieel bedrijf en verkopen of verhuren hun hackingtools aan anderen. Zij bieden ook een scala aan ondersteunende ‘diensten’. Als gevolg daarvan zijn er veel meer kwaadaardige bedreigingen actief.

2. Van enkele naar dubbele naar drievoudige afpersing… Tactieken van ‘dubbele afpersing’ zijn in opmars. Criminelen combineren de aanvankelijke versleuteling van gegevens of systemen, of in toenemende mate zelfs van hun back-ups, met een bykomende vorm van afpersing, zoals de dreiging om gevoelige of persoonlijke gegevens vrij te geven. In een dergelijk scenario moeten getroffen bedrijven omgaan met de mogelijkheid van zowel een grote bedrijfsonderbreking als een datalek, waardoor de uiteindelijke kosten van het incident aanzienlijk kunnen oplopen. Incidenten met drievoudige afpersing kunnen DDoS-aanvallen, bestandscodering en gegevensdiefstal combineren. Soms zijn deze aanvallen niet alleen gericht tegen één bedrijf, maar mogelijk ook tegen zijn klanten en zakenpartners. Een opmerkelijk geval was een psychotherapiekliniek in Finland waar losgeld werd geëist van het ziekenhuis. Tegelijkertijd werden ook kleinere bedragen van patiënten geëist om geen persoonlijke informatie vrij te geven.

3. Aanvallen op de toeleveringsketen: de volgende grote bedreiging: Er zijn hier twee hoofdtypen – de eerste richt zich op leveranciers van software/IT-diensten waar deze bedrijven worden gebruikt om de malware te verspreiden (bijvoorbeeld Kaseya of Solarwinds aanvallen). De tweede soort is gericht op de fysieke toeleveringsketens of kritieke infrastructuur, zoals de aanval op de Colonial Pipeline. Serviceproviders zullen waarschijnlijk de belangrijkste doelwitten worden, aangezien zij vaak honderden of duizenden bedrijven van softwareoplossingen voorzien en criminelen dus de kans op een hogere uitbetaling bieden.

4. Dynamiek van het losgeld: De eisen voor losgeld zijn de afgelopen 18 maanden omhoog geschoten. Volgens Palo Alto Networks bedroeg de gemiddelde afpersingseis in de VS $ 5,3 miljoen in de eerste helft van 2021, een stijging van 518% ten opzichte van het gemiddelde van 2020. De hoogste eis was $ 50 miljoen, tegen $ 30 miljoen het jaar daarvoor. Het gemiddelde bedrag dat aan hackers wordt betaald ligt ongeveer 10 keer lager dan de gemiddelde vraag, maar deze algemene opwaartse trend is alarmerend.

5. Betalen of niet betalen: Losgeld betalen is een controversieel onderwerp. Wetshandhavingsinstanties raden meestal af om losgeld te betalen om aanvallen niet verder aan te moedigen. Zelfs als een bedrijf besluit om losgeld te betalen, kan de schade al zijn aangericht. Het herstellen van systemen en het herstel van het bedrijf is een enorme opgave, zelfs wanneer een bedrijf de ontcijferingssleutel heeft.

Checklist met best practices op het gebied van IT-beveiliging

AGCS heeft een checklist met aanbevelingen voor effectief cyberrisicomanagement gepubliceerd. “In ongeveer 80% van de ransomware-incidenten hadden verliezen voorkomen kunnen worden als de organisaties best practices hadden gevolgd. Regelmatige patching, multi-factorauthenticatie, evenals informatiebeveiliging bewustwordingstraining, en responseplanning bij incidenten zijn essentieel voor het voorkomen van ransomware-aanvallen en vormen ook een goede cyberhygiëne”, zegt Rishi Baviskar, Global Cyber Experts Leader bij AGCS Risk Consulting. “Als bedrijven zich houden aan de aanbevelingen voor best practices, is de kans groot dat ze geen slachtoffer worden van ransomware. Tal van beveiligingsgaten kunnen worden gedicht, vaak met eenvoudige maatregelen.”

In het geval van een aanval is de dekking van cyberverzekeringen geëvolueerd naar het aanbieden van diensten voor respons op noodsituaties, die meestal toegang tot een professionele crisismanager, IT-forensische ondersteuning en juridisch advies omvatten. Verder worden ook IT-beveiligingstraining voor werknemers en hulp bij de ontwikkeling van een cyber crisis management plan aangeboden.