Een hacker eist losgeld: dit doe je in de eerste 24 uur

Een mail die je niet wilt krijgen

Je opent op maandagochtend je mail en daar staat het. Iemand schrijft dat hij je klantbestand heeft, met een paar regels eruit als bewijs. Betaal je niet binnen drie dagen, dan komt alles online. Je hart slaat over en de eerste vraag die opkomt is: moet ik betalen?

Voor de meeste ondernemers is dit een scenario uit het nieuws, iets dat grote bedrijven overkomt. Dat beeld klopt steeds minder. Wie een aanval kan uitvoeren is veranderd. Daarmee verandert ook wie er slachtoffer wordt.

Wat er in Zuid-Korea gebeurde

De politie in Seoul pakte deze week zeven verdachten op in wat zij de eerste grote zaak van AI-ondersteund hacken in het land noemt. Volgens de Korea Times en Decrypt richtte de groep zich op ongeveer 90 organisaties en werden 8,2 miljoen gegevens buitgemaakt. De vermoedelijke leider, een 32-jarige zonder IT-opleiding, zette eind augustus een AI-programmeerhulp en een programma dat zelfstandig naar zwakke plekken zoekt in. Daarmee kwam hij in 44 dagen bij 60 organisaties binnen.

Twee dingen vallen op. De slachtoffers waren voor een groot deel gewone bedrijven: golfbanen, bijlesinstituten, ziekenhuizen, universiteiten en dochterbedrijven van grotere concerns. En de groep eiste van 38 getroffen organisaties samen omgerekend ruim 270.000 dollar, maar kreeg uiteindelijk zo'n 210 dollar binnen. Bijna niemand betaalde.

Het tweede punt is de geruststelling. Het eerste is de reden om je voor te bereiden. AI maakt het opsporen van zwakke plekken goedkoper en sneller, waardoor een aanvaller niet meer hoeft te kiezen tussen een groot doelwit en tien kleine. Hij kan ze allemaal proberen.

Het eerste uur: rust en bewijs

De grootste fouten worden in het eerste uur gemaakt, uit paniek. Doe daarom eerst dit:

1. Reageer niet op de afzender. Elk antwoord vertelt de afperser dat hij een levend adres heeft en dat je geschrokken bent.
2. Bewaar alles. Sla de mail op met alle gegevens, maak schermafbeeldingen van wat je ziet en schrijf op hoe laat je het ontdekte. Dat heb je straks nodig voor de melding en de aangifte.
3. Wis niets. De verleiding is groot om een verdacht account of bestand meteen te verwijderen. Daarmee wis je ook de sporen die laten zien hoe de aanvaller binnenkwam.
4. Bel je IT-partner of degene die je systemen beheert. Doe dat telefonisch: als je mail is overgenomen, leest de aanvaller mee.

Controleer daarna of het bewijs echt is. Afpersers sturen soms gegevens die uit een oud openbaar lek komen. Klopt het voorbeeld met wat er in jouw systemen staat? Gaat het om recente gegevens?

Uur twee tot acht: de deur dichtdoen

Ga er bij een echte inbraak van uit dat de aanvaller nog binnen kan zijn. Sluit daarom de wegen naar binnen af:

• Verander de wachtwoorden van beheeraccounts, mail en de systemen waar de gestolen gegevens vandaan lijken te komen. Begin bij het account waarmee je de rest kunt resetten, meestal je mail.
• Log alle actieve sessies uit. In Microsoft 365 en Google Workspace kan dat per gebruiker in één keer.
• Trek sleutels en koppelingen in die toegang geven tot je gegevens: API-sleutels, gekoppelde apps en automatiseringen. Die worden vaak vergeten en werken gewoon door als je wachtwoord verandert.
• Haal een getroffen computer of server van het netwerk zonder hem uit te zetten. Zo blijft wat er in het geheugen staat bewaard voor onderzoek.

Maak in dezelfde periode een eerste inschatting van wat er weg is. Welke gegevens, van hoeveel mensen en hoe gevoelig? Die inschatting hoeft niet perfect te zijn. Je werkt hem bij naarmate je meer weet.

Binnen 72 uur: melden

Gaat het om persoonsgegevens, zoals een klantbestand, dan heb je meestal een meldplicht. De AVG geeft je 72 uur na ontdekking om een datalek met risico voor de betrokkenen te melden bij de Autoriteit Persoonsgegevens. Weet je nog niet alles, meld dan wat je weet en vul later aan. Is het risico voor de mensen in je bestand hoog, dan moet je ook hen informeren. Hoe je in het algemeen met klantdata en AI omgaat onder de AVG, lees je in AI en klantdata: wat mag wel en niet.

Daarnaast:

• Doe aangifte bij de politie, ook als je niet verwacht dat de daders gepakt worden. Zonder aangiftes ziet de politie het patroon niet.
• Bel je verzekeraar als je een cyberverzekering hebt. Veel polissen vragen om een melding binnen een korte termijn en hebben een eigen hulplijn met specialisten.
• Informeer je klanten zelf voordat ze het uit een andere bron horen. Een kort, eerlijk bericht over wat er gebeurd is en wat je doet, kost minder vertrouwen dan zwijgen.

En betalen?

Die vraag kun je beter met je verzekeraar, je IT-partner en de politie bespreken dan alleen. Een paar overwegingen om mee te nemen. Je koopt geen garantie: wie betaalt, heeft alleen de belofte van een crimineel dat de gegevens worden verwijderd. Wie betaalt, staat bekend als iemand die betaalt. En je meldplicht vervalt er niet door, de AP-melding moet hoe dan ook.

De Koreaanse zaak laat zien dat de meeste slachtoffers niet betaalden. Het lek bleef een lek. Wel ging er geen geld naar de volgende aanval.

Het A4'tje dat je vandaag klaarlegt

Het meeste van hierboven gaat sneller als je het niet onder druk hoeft uit te zoeken. Maak daarom één pagina die op papier en buiten je mail te vinden is:

1. Wie je belt: IT-partner, verzekeraar, de persoon die bij jou over privacy gaat. Met telefoonnummers.
2. Waar je beheeraccounts zitten en wie erbij kan.
3. Welke koppelingen en automatiseringen toegang hebben tot klantgegevens.
4. Waar je back-ups staan en wanneer je voor het laatst hebt gecontroleerd of terugzetten werkt.
5. Een conceptbericht aan klanten dat je alleen nog hoeft aan te vullen.

Dat kost een uur. Het beste moment om het te doen is voordat je het nodig hebt. Wil je de kans op zo'n mail ook kleiner maken, begin dan bij de basisbeveiliging voor het MKB en zo voorkom je dat AI-tools je data laten lekken.

Benieuwd wat dit voor jouw bedrijf betekent? We kijken het graag samen met je door.