Losgeld betalen aan hackers niet slim, maar soms noodzakelijk

Gevoelige gegevens van studenten en docenten van ROC Mondriaan in Den Haag zijn onlangs gelekt. Dat gebeurde nadat de onderwijsinstelling in overleg met het ministerie van Onderwijs, Cultuur en Wetenschap had geweigerd een onbekend losgeldbedrag aan hackers te betalen. Soms betalen bedrijven juist wel. Een expert legt aan NU.nl uit hoe deze keuzes tot stand kunnen komen.

Als bedrijven gehackt worden, adviseert de overheid om niet te betalen bij een aanval met gijzelsoftware. Ook wordt communicatie met hackers afgeraden, licht een woordvoerder van het ministerie van Justitie en Veiligheid toe.

Bij een ransomwareaanval versleutelen hackers gegevens waarmee ze een bedrijf vervolgens chanteren voor geld. Wordt er betaald, dan worden de gegevens meestal weer toegankelijk gemaakt voor het bedrijf. Als de hackers geen geld ontvangen, verdwijnt het verdienmodel, zo is het idee van de overheid.

Betalen niet altijd een slecht idee
Pim Takkenberg werkt bij cybersecuritydienstverlener Northwave en hij vindt het overheidsbeleid over het algemeen een slimme keuze. Er wordt zodoende namelijk een duidelijk signaal aan de criminelen gegeven.

Als puur naar de situatie van een bedrijf wordt gekeken, kan betalen soms juist slim zijn. Een ransomwareaanval kan een bedrijf namelijk totaal vernietigen, zegt hij.

"Computersystemen kunnen soms voor lange tijd geblokkeerd zijn", zegt Takkenberg. "Ook kunnen gestolen gegevens zo gevoelig zijn dat het lekken ervan enorme consequenties kan hebben. Ze kunnen jaren na een hack nog voor onder andere identiteitsfraude en afpersing gebruikt worden. Betalen is in zo'n geval simpelweg de beste optie voor een bedrijf, omdat je deze risico's daarmee beperkt."

Volgens hem is het advies van de overheid niet de enige oplossing voor het probleem. Het beleid wordt na een aanval namelijk niet door iedereen toegepast, omdat het advies vrijblijvend is. Het verdienmodel van hackers omstoten is zodoende eerder symbolisch dan effectief, benadrukt hij.

Dat het beleid symbolisch is, is volgens een woordvoerder van het ministerie van Justitie en Veiligheid niet het geval. "Het is een hard beleid, met een duidelijke boodschap richting criminelen."

'Er moet een internationale vuist worden gemaakt'
Als we een ransomwaregroep willen aanpakken, moeten we de criminele structuur erachter omstoten, zegt Takkenberg. "Nederland kan het niet alleen. Er moet een internationale vuist worden gemaakt."

Die vuist is momenteel nog lastig te realiseren, licht hij toe. "Als er landen blijven bestaan die niet of nauwelijks optreden tegen hackgroepen, dan gaat blokvorming tegen hackers moeilijk lukken."