AP: aanval gijzelsoftware komt vaak door slechte beveiliging

Bedrijven en organisaties die worden getroffen door een aanval met gijzelsoftware hadden de beveiliging van hun computersystemen vaak niet op orde.

Ze gebruikten bijvoorbeeld zwakke wachtwoorden. Bij het inloggen was er geen extra controle en de systemen waren niet goed geüpdatet, constateert de Autoriteit Persoonsgegevens. Die noemt de uitkomsten heel zorgwekkend.

De privacytoezichthouder zegt dat er vorig jaar 178 unieke aanvallen met ransomware zijn gemeld. Eén aanval kan tientallen tot honderden organisaties tegelijk treffen, zoals bij de klanten van softwareleverancier Nebu. Cijfers over de jaren ervoor heeft de Autoriteit niet, omdat dit onderzoek voor het eerst is uitgevoerd, maar de toezichthouder vermoedt dat de aantallen toen vergelijkbaar waren.

Het aantal aanvallen met gijzelsoftware is iets hoger dan tot nu toe bekend. Eerder werd geschat dat er vorig jaar ongeveer 140 unieke ransomware-aanvallen waren. "Organisaties zijn niet verplicht om aangifte te doen bij de politie, maar zijn wel verplicht om een aanval bij ons te melden", zegt Dennis Davrados, coördinator datalekken bij de AP. Hij denkt dat het aantal een goed beeld geeft van de werkelijkheid, "de meldingsbereidheid in Nederland is hoog".

Negentig van de 178 getroffen organisaties deden mee aan het vervolgonderzoek van de AP. De toezichthouder noemt geen namen. Ongeveer twee op de drie hadden de basisbeveiliging niet op orde. Volgens Davrados gebruikten ze soms hetzelfde gemakkelijke wachtwoord op meerdere plekken. "Soms gaat het om zulke banale dingen als welkom123. Het is echt zorgwekkend dat dit nu nog steeds gebeurt." De waakhond weet niet of de beveiliging bij andere organisaties ook zo slecht is, omdat die niet zijn onderzocht.

Bij een aanval met ransomware versleutelen indringers de computersystemen van een organisatie. Medewerkers kunnen niet meer bij hun programma's en daardoor valt de organisatie helemaal of deels stil. Vervolgens eisen de aanvallers losgeld. Tegenwoordig stelen de daders ook interne gegevens, bijvoorbeeld van klanten, en dreigen ze die informatie door te verkopen. "Dubbele afpersing", noemt de AP dat.

Ongeveer zes op de tien getroffen organisaties proberen te onderhandelen met de daders, maar minder dan een kwart van hen betaalt vervolgens het losgeld.

De AP raadt organisaties aan om hun beveiliging te verbeteren. "Hackers gaan voor laaghangend fruit. Ze willen gemakkelijk binnenkomen en snel buit maken. Lukt dat niet, dan gaan ze naar de buren. Zorg dat je geen laaghangend fruit bent."