Ransomware is schadelijke software die je bestanden ontoegankelijk kan maken en vervolgens losgeld eist. Een aanval kan je foto’s en documenten treffen, maar ook de bestanden en systemen van een kleine organisatie. Met goede back-ups, updates en een zorgvuldige reactie verklein je de kans op blijvende schade.
Hoe ransomware werkt
Ransomware is een vorm van malware die je onder druk zet om losgeld te betalen. Vaak versleutelt de software bestanden, waardoor je ze niet meer normaal kunt openen. Versleuteling zet gegevens om in een vorm die zonder de juiste sleutel niet leesbaar is. Meer over het principe lees je bij encryptie.
Na de aanval verschijnt meestal een bericht met instructies en een eis tot betaling. De criminelen beloven dan bijvoorbeeld een sleutel of programma te geven waarmee je de bestanden kunt herstellen. Soms vergrendelt ransomware vooral het scherm of dreigt de aanvaller met het openbaar maken van gestolen gegevens, ook zonder bestanden te versleutelen.
Een aanval blijft niet altijd beperkt tot één computer. Als de ransomware toegang heeft tot gedeelde mappen of andere systemen, kunnen ook die worden getroffen. Bestanden in gesynchroniseerde cloudmappen kunnen eveneens veranderen, waarna die wijzigingen worden gesynchroniseerd.
Voor een kleine organisatie kan dat betekenen dat medewerkers niet meer bij administratie, klantgegevens of andere belangrijke bestanden kunnen. Ook thuis kan de schade groot zijn, bijvoorbeeld als persoonlijke foto’s alleen op de getroffen computer staan.
Hoe ransomware binnenkomt
Ransomware kan op verschillende manieren binnenkomen. Een bekend voorbeeld is een misleidend bericht dat je overhaalt een bijlage te openen, op een link te klikken of software te installeren. Zo’n bericht kan zich voordoen als een factuur, bezorgmelding of verzoek van een bekende. Lees meer over het herkennen van dit soort berichten bij phishing.
Andere aanvallen beginnen met een kwetsbaarheid in software of met een gestolen wachtwoord. Daarmee kan een aanvaller toegang krijgen tot een computer, een online account of een systeem dat op afstand bereikbaar is. Eenmaal binnen probeert de aanvaller soms meer rechten te krijgen en zich verder door het netwerk te verplaatsen.
Ook onbetrouwbare downloads en programma’s die zich voordoen als iets anders kunnen een besmetting veroorzaken. Het is niet altijd duidelijk wanneer de aanval is begonnen: soms is een aanvaller al eerder binnen geweest voordat bestanden worden versleuteld.
Niet elke besmetting ontstaat doordat iemand een opvallende fout maakt. Een overtuigend bericht, een hergebruikt wachtwoord of een vergeten update kan voldoende zijn. Daarom helpt een combinatie van maatregelen beter dan vertrouwen op één beschermingslaag.
Waarom betalen geen oplossing is
Betalen lijkt misschien de snelste manier om weer bij je bestanden te komen, maar het biedt geen garantie. De aanvallers kunnen verdwijnen, een niet-werkende sleutel sturen of opnieuw geld eisen. Zelfs als je een werkend herstelprogramma krijgt, kan het terugzetten van bestanden veel tijd kosten en is niet zeker dat alles onbeschadigd terugkomt.
Bij sommige aanvallen kopiëren criminelen gegevens voordat ze die versleutelen. Betaling bewijst dan niet dat de kopieën zijn verwijderd of later niet alsnog worden misbruikt. Ook zijn computers en accounts na betaling niet vanzelf weer veilig: de aanvaller kan nog toegang hebben of de oorspronkelijke kwetsbaarheid kan nog bestaan.
Het betalen van losgeld kan bovendien verdere criminaliteit financieren. Voor organisaties kunnen daarnaast juridische en verzekeringsvragen spelen. Laat je daarom adviseren door een deskundige en neem geen overhaaste beslissing onder druk van een dreigbericht.
Bewaar het losgeldbericht en andere aanwijzingen voor de melding en eventuele hulp bij herstel. Kijk samen met een betrouwbare specialist eerst welke herstelmogelijkheden er zijn, zoals schone back-ups of een beschikbaar ontsleutelprogramma. Zo’n programma bestaat niet voor iedere ransomwarevariant.
Preventie: back-ups, updates en oplettendheid
Een goede verdediging bestaat uit meerdere lagen. De belangrijkste voorzorg voor je bestanden is een back-up: een aparte kopie die je kunt terugzetten als het origineel verloren gaat. Bewaar minstens één kopie zo dat ransomware er niet zomaar bij kan, bijvoorbeeld op een losgekoppelde schijf of in een geschikte back-upomgeving met afgeschermde versies.
Controleer regelmatig of de back-up compleet is en test of je bestanden werkelijk kunt terugzetten. Synchronisatie alleen is geen volwaardige back-up: beschadigde of versleutelde bestanden kunnen mee worden gesynchroniseerd. Meer uitleg vind je bij back-ups.
Houd daarnaast je besturingssysteem, programma’s, router en andere apparaten bijgewerkt. Updates herstellen vaak beveiligingsproblemen die aanvallers kunnen misbruiken. Gebruik waar mogelijk automatische updates en vervang software die geen beveiligingsupdates meer krijgt.
Andere nuttige maatregelen zijn:
- Gebruik unieke wachtwoorden en zet waar mogelijk tweestapsverificatie aan.
- Open geen onverwachte bijlagen en controleer een verdacht verzoek via een bekend contactkanaal.
- Installeer software uit betrouwbare bronnen en gebruik beveiligingssoftware.
- Geef gebruikers en programma’s alleen de toegang die ze nodig hebben.
- Beperk toegang op afstand tot systemen en beveilig die goed.
Voor een kleine organisatie helpt het om af te spreken wie updates, toegangsrechten en back-ups controleert. Bespreek ook vooraf wie medewerkers waarschuwen als zij een aanval vermoeden.
Wat te doen bij een besmetting
Vermoed je ransomware, verbreek dan zo snel mogelijk de verbinding van het getroffen apparaat met internet en het lokale netwerk. Schakel bijvoorbeeld wifi uit en haal de netwerkkabel eruit. Zo beperk je mogelijk verdere verspreiding. Koppel ook aangesloten back-upschijven los, maar sluit geen andere schijven aan om bestanden te controleren.
Waarschuw bij een organisatie direct de verantwoordelijke voor IT of beveiliging. Die kan beoordelen welke andere systemen risico lopen en verdere toegang beperken. Ben je thuis en weet je niet wat je moet doen, schakel dan een betrouwbare deskundige in. Gebruik voor contact en het wijzigen van mogelijk gestolen wachtwoorden een ander, schoon apparaat.
Bewaar het losgeldbericht en noteer wat je hebt gezien. Zet het apparaat niet direct terug naar de fabrieksinstellingen en verwijder niet zomaar bestanden: daarmee kunnen aanwijzingen voor onderzoek of herstel verloren gaan. Een specialist kan adviseren of het apparaat aan moet blijven en welke informatie veilig kan worden bewaard.
Doe aangifte bij de politie. Zijn mogelijk persoonsgegevens van anderen betrokken, dan moet een organisatie beoordelen of sprake is van een meldplichtig datalek en zo nodig de Autoriteit Persoonsgegevens en betrokkenen informeren.
Herstel bestanden pas nadat de oorzaak is aangepakt en het systeem veilig is gemaakt. Controleer ook of de gekozen back-up van vóór de besmetting is en of deze bruikbaar is. Zie voor verdere stappen de checklist computer virusvrij maken.
Veelgestelde vragen
Kan ransomware ook een externe harde schijf versleutelen?
Ja. Als een externe schijf is aangesloten en toegankelijk is, kan ransomware ook de bestanden daarop treffen. Koppel een back-upschijf daarom los wanneer je die niet gebruikt.
Zijn bestanden in de cloud veilig voor ransomware?
Niet automatisch. Versleutelde bestanden kunnen naar een cloudmap worden gesynchroniseerd. Versiegeschiedenis of een aparte, afgeschermde back-up kan helpen bij herstel.
Kan antivirus alle ransomware tegenhouden?
Nee. Beveiligingssoftware kan aanvallen herkennen of blokkeren, maar geen enkel middel houdt gegarandeerd alles tegen. Combineer die bescherming met updates, veilige instellingen en geteste back-ups.
Kun je bestanden altijd zonder betaling ontsleutelen?
Nee. Voor sommige varianten bestaat een bruikbaar ontsleutelprogramma, maar voor andere niet. Een schone back-up is daarom belangrijk, ook als je beveiligingssoftware gebruikt.