Ransomware voorkomen: praktische gids voor bedrijven en overheid

In 2023 werden meer dan 500 Nederlandse organisaties getroffen door ransomware. Ziekenhuizen die operaties moesten uitstellen, gemeenten die weken offline waren, MKB-bedrijven die nooit meer opengingen na een aanval. Ransomware is niet abstract — het is een reële bedreiging die uw organisatie morgen kan treffen.

Hoe werkt ransomware?

Ransomware is malware die bestanden op uw systemen versleutelt. Daarna eisen de aanvallers losgeld (ransom) — meestal in cryptocurrency — in ruil voor de sleutel om uw bestanden te ontsleutelen.

De aanvalsketen

Fase 1: Initiële toegang Aanvallers komen binnen via:

• Phishing e-mail met malafide bijlage of link (meest voorkomend)
• Gestolen inloggegevens (gekocht op het dark web)
• Kwetsbare externe systemen (VPN, Remote Desktop Protocol)
• Supply chain aanval (via software van een leverancier)

Fase 2: Verkenning Eenmaal binnen verkennen aanvallers rustig uw netwerk — soms dagen of weken. Ze zoeken naar:

• Domeincontrollers (admin van het hele netwerk)
• Backupsystemen (die willen ze ook versleutelen)
• Gevoelige data die ze kunnen stelen voor double extortion

Fase 3: Laterale beweging Via gestolen credentials of exploits bewegen ze door uw netwerk naar systemen met meer rechten.

Fase 4: Data exfiltratie Bij moderne ransomware wordt data gestolen voordat het versleuteld wordt. Zo kunnen aanvallers dreigen de data te publiceren als u niet betaalt — ook als u uw backups heeft.

Fase 5: Versleuteling Op een gekozen moment (vaak ‘s nachts of in het weekend) wordt de ransomware geactiveerd en worden alle bereikbare bestanden versleuteld.

Fase 6: Losgeld eis Een melding op uw scherm of in een tekstbestand beschrijft de eis en hoe te betalen.

Moet u betalen?

Het NCSC (Nationaal Cyber Security Centrum) en Europol adviseren nadrukkelijk om niet te betalen. Redenen:

• Betalen garandeert geen herstel — in 20% van de gevallen worden bestanden niet of niet volledig teruggegeven
• U financiert criminelen en maakt u aantrekkelijk voor volgende aanvallen
• Betalen is in sommige gevallen juridisch risicovol (sanctielanden)

Als u goede backups heeft, bent u niet afhankelijk van de aanvallers.

Preventieve maatregelen

1. Multi-factor authenticatie overal

MFA op alle externe toegangspunten (VPN, Remote Desktop, e-mail, cloudservices) voorkomt dat gestolen wachtwoorden direct leiden tot toegang.

2. Patch management

Houd alle systemen up-to-date. Exploits van bekende kwetsbaarheden zijn een populaire aanvalsvector. Stel automatische updates in waar mogelijk.

3. E-mail filtering en bewustzijn

Technische filters plus getrainde medewerkers. Simuleer phishing-aanvallen om bewustzijn te testen en te verhogen.

4. Netwerksegmentatie

Verdeel uw netwerk in segmenten zodat een aanvaller die toegang heeft tot één segment niet automatisch bij alles kan. Een geïnfecteerde laptop op het gastnetwerk mag niet bij uw fileserver.

5. Beperk Remote Desktop Protocol (RDP)

RDP direct op het internet is een veelgebruikte aanvalspoort. Zet het achter een VPN of gebruik een RDP-gateway.

6. Least privilege

Medewerkers hebben alleen toegang tot wat ze nodig hebben. Een aanvaller die het account van een medewerker overneemt, heeft dan beperkte schade mogelijk.

7. Endpoint Detection and Response (EDR)

Geavanceerde antivirussoftware die gedragspatronen herkent en verdachte activiteit blokkeert — zelfs bij onbekende malware.

De 3-2-1 backupstrategie

Dit is uw laatste verdedigingslinie:

• 3 kopieën van uw data
• 2 verschillende opslagmedia
• 1 offsite (niet verbonden met uw netwerk)

De offsite backup moet air-gapped zijn — niet bereikbaar via uw netwerk. Aanvallers versleutelen ook netwerk-verbonden backups.

Test uw backup regelmatig. Een backup waaruit u niet kunt herstellen is geen backup.

Incident response plan

Weet wat u doet als het toch misgaat:

1. Isoleer het geïnfecteerde systeem direct van het netwerk
2. Bel het NCSC (overheid) of uw incident response partner
3. Schakel geen systemen uit voordat forensisch onderzoek is gedaan
4. Meld bij de AP als persoonsgegevens betrokken zijn (72 uur)
5. Communiceer intern en extern beheerst

Ransomware en overheidsorganisaties

Overheidsorganisaties zijn aantrekkelijke doelwitten:

• Gevoelige data over burgers
• Publieke druk om snel te herstellen
• Soms verouderde infrastructuur

Specifieke aanbevelingen voor overheid:

• Volg de BIO-maatregelen
• Meld bij het NCSC (zij bieden ook incidentrespons hulp)
• Oefenbesluitvorming bij een cyberincident (tabletop exercises)
• Zorg voor een offline communicatiemiddel als uw mailsysteem uitvalt

NarexPlatform en ransomware preventie

NarexPlatform helpt organisaties hun digitale weerbaarheid te vergroten:

• Veilige webapplicaties die een kleinere aanvalsoppervlakte bieden
• DMARC implementatie die phishing via uw domein voorkomt
• Beveiligingsadvies over netwerksegmentatie en toegangsbeleid
• Hosting met dagelijkse offsite backups voor alle klanten
• Monitoring zodat afwijkend gedrag snel wordt gesignaleerd

Wij kunnen ook ondersteunen bij het opstellen van een incident response plan voor uw digitale systemen.

Conclusie

Ransomware voorkomen is mogelijk — maar vereist een gelaagde aanpak. Er is geen één-oplossing. De combinatie van techniek, processen en mensen maakt uw organisatie weerbaar.

Neem contact op voor een gesprek over de digitale weerbaarheid van uw organisatie.