Hoe voorkom je ransomware: een praktische gids voor organisaties

Ransomware is een van de meest ontwrichtende dreigingen waarmee organisaties vandaag de dag te maken hebben. Een succesvolle aanval kan je binnen minuten buitensluiten van je eigen systemen, activiteiten dagenlang of wekenlang stilleggen en je voor de keuze stellen tussen losgeld betalen of alles opnieuw opbouwen. Het goede nieuws: de meerderheid van ransomware aanvallen is te voorkomen, niet via exotische beveiligingstools, maar door consequente toepassing van maatregelen die elke organisatie kan invoeren. Deze gids legt uit hoe ransomware voorkomen kan worden, wat de meest effectieve stappen zijn en wat de menselijke factor daarmee te maken heeft.

Wat is ransomware? Een korte samenvatting

Ransomware is een type malware dat bestanden of systemen versleutelt en betaling vereist, doorgaans in cryptocurrency, in ruil voor de ontsleutelingssleutel. Moderne ransomware aanvallen gaan vaak een stap verder: aanvallers stelen data voordat ze deze versleutelen en dreigen deze te publiceren als het losgeld niet wordt betaald, een techniek die bekend staat als double extortion.

Ransomware bereikt organisaties via een beperkt aantal routes: phishing-e-mails die een medewerker verleiden malware uit te voeren, misbruik van niet-gepatchte kwetsbaarheden, gecompromitteerde remote desktop-verbindingen en geïnfecteerde software of supply chain-componenten. Inzicht in de toegangspunten is essentieel voor preventie: je kunt alleen blokkeren wat je weet te moeten zoeken.

Voor een uitgebreidere uitleg over hoe ransomware werkt, lees je ons artikel over de betekenis en werking van ransomware.

Hoe ransomware te voorkomen: de technische laag

Ransomware voorkomen begint met het afsluiten van de toegangen die aanvallers het vaakst gebruiken. Deze technische maatregelen vormen de basis; zonder die maatregelen kan geen enkele bewustwordingstraining de kwetsbaarheid compenseren:

• Zorg ervoor dat je software en systemen altijd up-to-date zijn. De meeste ransomware maakt misbruik van bekende kwetsbaarheden waarvoor al patches beschikbaar zijn. Een consistent patchbeheerproces, toegepast op servers, eindpunten, netwerkapparatuur en applicaties van derden, neemt een van de meest voorkomende toegangspunten weg.
• Schakel meervoudige authenticatie (MFA) in. Gestolen inloggegevens zijn een van de belangrijkste manieren waarop ransomware binnenkomt, vooral via Remote Desktop (RDP) en e-mail. Dankzij MFA volstaan gestolen wachtwoorden alleen niet meer om toegang te krijgen.
• Beperk toegang op afstand. Schakel RDP uit als het niet nodig is. Als het wel nodig is, gebruik dan een VPN met MFA, beperk de toegang op basis van IP-bereik en houd in de gaten of er ongebruikelijke inlogtijden of -locaties zijn.
• Segmenteer je netwerk. Mocht er toch ransomware binnendringen, dan zorgt netwerksegmentatie ervoor dat de verspreiding ervan wordt beperkt. Kritieke systemen en gevoelige gegevens moeten worden afgeschermd van de algemene kantoornetwerken.
• Zorg voor offline of onveranderlijke backups. Een ransomware-aanval die je backupsysteem bereikt, haalt het doel ervan onderuit. Backups moeten offline of in een onveranderlijk formaat worden opgeslagen, regelmatig worden getest en gescheiden worden gehouden van productiesystemen.
• Implementeer Endpoint Detection and Response (EDR). Moderne EDR-tools detecteren ransomware-achtig gedrag, massale bestandsversleuteling en laterale bewegingen, en kunnen een aan de gang zijnde aanval stoppen voordat deze volledige schade aanricht.
• Filter bijlagen en links in e-mails. Aangezien phishing de belangrijkste manier is waarop ransomware wordt verspreid, zorgen e-mailbeveiligingstools die bijlagen controleren, schadelijke links blokkeren en verdachte afzenders markeren ervoor dat het aanvalsoppervlak aanzienlijk wordt verkleind.

Ransomware voorkomen in je organisatie: wat de kantooromgeving hieraan bijdraagt

Technische beveiligingsmaatregelen hebben betrekking op systemen en software. Maar een kantooromgeving brengt extra risicofactoren met zich mee die verder gaan dan de IT-infrastructuur: gedeelde apparaten, toegang van bezoekers tot het netwerk, persoonlijke apparaten op het wifi-netwerk van het werk, USB-sticks die van buitenaf worden meegebracht, en medewerkers die onder tijdsdruk staan en snel beslissingen nemen zonder even de tijd te nemen om dingen te controleren.

Ransomware voorkomen op kantoor of binnen een bedrijf betekent dat je duidelijk beleid moet opstellen rond deze risicofactoren en ervoor moet zorgen dat medewerkers begrijpen waarom dit beleid er is:

• Scheiding van het gastnetwerk. Bezoekers en persoonlijke apparaten mogen nooit op hetzelfde netwerksegment zitten als bedrijfssystemen en -gegevens.
• Beleid inzake USB-sticks en verwisselbare media. Besmette USB-sticks vormen nog steeds een reëel risico voor ransomware, vooral in productie- en logistieke omgevingen. Een beleid dat het gebruik van USB-sticks op werkapparaten beperkt of blokkeert, sluit dit risico uit.
• Duidelijke escalatieprocedures. Medewerkers die vermoeden dat er iets mis is – een vreemde e-mail, een onverwachte pop-up, een systeem dat zich raar gedraagt – moeten precies weten met wie ze contact moeten opnemen en dat dit juist wordt aangemoedigd, niet bestraft. Door het snel te melden kun je een incident stoppen voordat het uitgroeit tot een volledige aanval.
• Beoordeling van de toegang van leveranciers en derden. Veel ransomware-aanvallen vinden hun weg via een leverancier of managed service provider die bevoorrechte toegang heeft tot de systemen van het doelwit. Ga na wie er externe toegang heeft, beperk die toegang tot wat strikt noodzakelijk is en eis van leveranciers dat ze aan minimale beveiligingsnormen voldoen.

Ransomware maakt geen onderscheid op basis van de grootte van een organisatie. Kleine bedrijven en kantoren zijn vaak het doelwit, juist omdat men ervan uitgaat dat ze minder beveiligingsmaatregelen hebben, en die aanname klopt vaak.

De menselijke factor: waarom training in beveiligingsbewustzijn essentieel is om ransomware te voorkomen

Technische maatregelen verkleinen het aanvalsoppervlak, maar kunnen het menselijke risico niet helemaal uitsluiten. Phishing is de meest gebruikte methode om ransomware te verspreiden, en phishing slaagt niet omdat technische filters falen, maar omdat iemand een beslissing neemt op een moment van afleiding, tijdsdruk of misplaatst vertrouwen.

Een medewerker die een schadelijke bijlage opent, zijn inloggegevens invoert op een vervalste inlogpagina of terugbelt naar een zogenaamd ‘beveiligingsteam van de bank’, is niet dom. Hij doet gewoon wat iedereen doet als hij onder druk handelt op basis van onvolledige informatie. De vraag is hoe je mensen het vermogen kunt bijbrengen om patronen te herkennen, even stil te staan en te controleren voordat ze iets doen, en dat kun je alleen door oefening leren.

Security awareness training bouwt die gewoonte op via regelmatige, korte sessies en realistische phishing simulaties. Medewerkers die een overtuigende phishing-e-mail hebben gezien in een simulatiecontext, zijn beter toegerust om er een te herkennen in de praktijk. Organisaties die doorlopend awareness programma's draaien, zien consequent lagere phishing click rates, wat zich direct vertaalt in minder ransomware entry points.

Bewustwordingstraining verandert ook wat er gebeurt nadat je een verdachte e-mail hebt ontvangen. Medewerkers die een training hebben gevolgd, zullen eerder geneigd zijn om het te melden in plaats van erop te klikken. Die verschuiving, van passief doelwit naar actieve melder, is een van de belangrijkste manieren waarop een organisatie het risico kan verminderen, tegen relatief lage kosten en zonder dat er extra infrastructuur nodig is.

Checklist voor het voorkomen van ransomware: hoe staat het er bij jouw organisatie voor?

Gebruik deze checklist om te beoordelen hoe goed je organisatie op dit moment beschermd is tegen een ransomware-aanval:

• Alle besturingssystemen, applicaties en firmware worden binnen een vastgestelde termijn bijgewerkt
• MFA is ingeschakeld voor e-mail, toegang op afstand en kritieke systemen
• RDP is uitgeschakeld of wordt via een VPN met MFA beveiligd
• Er zijn offline of onveranderlijke back-ups en die worden regelmatig getest
• Netwerksegmentatie zorgt ervoor dat kritieke systemen gescheiden blijven van de algemene kantoornetwerken
• EDR of een gelijkwaardig systeem is op alle eindpunten geïnstalleerd
• E-mailfiltering is zo ingesteld dat schadelijke bijlagen en links worden geblokkeerd
• Medewerkers krijgen regelmatig phishing-simulaties en trainingen om hun bewustzijn op het gebied van beveiliging te vergroten
• Er is een duidelijk procedure voor het escaleren en melden van incidenten, en alle medewerkers zijn hiervan op de hoogte
• De toegang voor derden en leveranciers wordt gecontroleerd en beperkt tot wat nodig is

Als er meer dan twee of drie van deze punten ontbreken of onduidelijk zijn, loopt je organisatie een aanzienlijk risico op een ransomware-aanval, maar deze tekortkomingen kunnen worden verholpen.