Hulde voor deze mensen die daadwerkelijk verder kijken dan de ethische belangen. Als je al maanden verzuimd hebt een goede backup te maken, en dit je enige optie is, vind ik het nogal hypocriet om niet je data terug te halen vanwege de ethische kant.

Klopt, maar bij de grotere varianten krijg je zelfs support. Logisch ook; deze gasten verdienen geld omdat slachtoffers geloven dat ze bij betaling hun data terugkrijgen. Als uit de praktijk blijkt dat deze criminelen nooit data restoren, dan houden ze ook op met verdienen.

Eigenlijk heeft dit soort mallware een positief effect op privacy.

En als betalen de enige manier is om de data terug te krijgen is dat misschien een motivator om er zorgvuldiger mee om te gaan. Als een berg gevoelige gegevens slechts gekopieerd (gestolen) worden dan halen bedrijven meestal hun schouders op. Bij bijvoorbeeld de 25 Nederlandse bedrijven hierboven ging die vlieger niet op en lag in sommige gevallen de core buisiness op zij gat omdat beveiliging en Backups schijnbaar niet belangrijk waren.

Ook bij niet betalen en geen Back-up is er een gunstig effect; gegevens zullen opnieuw aangevraagd en ingevoerd moeten worden. Zo zijn de nieuwe bestanden gefilterd van personen of bedrijven die hun gegevens niet meer in betreffende bestanden willen hebben en ze dus niet opnieuw verstrekken.

Dat maakt de inzet van dergelijke mallware niet oké, maar het is wel de eerste variant die een positieve bijwerking heeft. Het is grappig om te zien hoe sommige problemen worden opgelost door andere problemen.

Alsof een crimineel geld moet krijgen omdat jij of ik geen goede backup gemaakt hebben. Je draait de zaken een beetje op zijn kop. Ik vind het ook heel begrijpelijk dat mensen betalen indien ze weinig andere keuze hebben (i.e. je bedrijfsadministratie is versleuteld, en zonder die data kan je simpelweg niet verder).

Beweren dat het hypocriet is om een crimineel geen geld te geven, omdat je onvoldoende voorzorgsmaatregelen hebt genomen is nogal bizar. Jij maakt er bijna een morele verplichting van om een crimineel te betalen als boetedoening voor je eigen gebreken.

Dat komt op hetzelfde neer als stellen dat het best ok is indien een crimineel misbruik maakt van het feit dat je je voordeur niet goed hebt dichtgedaan toen je van huis weg ging, en dat het hypocriet zou zijn om die inbreker vervolgens aan te klagen.


Dat weten die criminelen verdomd goed, en die hebben ook graag continuiteit. Vandaar dat de meeste criminelen achter ransomware daadwerkelijk ''helpen'' om je data te ontsleutelen na betaling. Wat dat betreft hebben ze baat bij een ''goede'' reputatie (sic).

Ik kan hier alleen maar zwart-wit inzitten, betalen houd het business model van de crimineel in stand. Betalen is geen optie.

Denk je ook na over het business model van het slachtoffer ?

Indien jij een bedrijf zou hebben, en de continuiteit van je bedrijf op het spel zou staan t.g.v. van ransomware, zou je dan principieel niet betalen, omdat dit het business model van de crimineel in stand houdt, zelfs als het gevolg daarvan zou zijn dat je eigen bedrijf om zou vallen ?

Het is zo ontzettend gemakkelijk om te roepen dat je principieel niet moet betalen, zonder na te denken over de implicaties die dit kan hebben voor slachtoffers.

Indien ik een bedrijf zou hebben, en indien de continuiteit van mijn bedrijf gevaar zou lopen t.g.v. van ransomware, dan zou ik er niet voor kiezen om zelf failliet te gaan, omdat het ethisch niet verantwoord is om te betalen.

De vraag of mijn bedrijf om zou vallen, en ik failliet zou gaan, zou ik uiteindelijk toch zwaarder laten wegen dan de vraag of het ethisch verantwoord is om te betalen, en wat dit betekent voor het business model van de crimineel.

Niemand zal met plezier geld betalen aan zo'n hufter die m.b.v. malware je gegevens heeft gekaapt. Echter hebben mensen vaak genoeg weinig keuze.

Is dit echt zo zwart-wit...?

Als je (bedrijfs) auto gestolen wordt kun je aanspraak maken op de verzekering. Maar zou het moreel zijn om gewoon altijd maar uit te keren, ook als je alle deuren open laat en de sleutel nog in het contact zat...?

Er is ook een bepaalde verantwoordelijkheid om misdrijf te voorkomen. En als je dat met je auto doet, waarom dan niet met je data? Als je auto gestolen wordt dan ben jij het slachtoffer maar als je data gestolen wordt dan zijn ook al je klanten of relaties een slachtoffer. Dit soort mallware speelt in op de laksheid of krenterigheid van bedrijven; had men zorgvuldig omgegaan met de data dan was het risico dat deze ten prooi viel aan criminelen een stuk kleiner. Deze mallware versleuteld data, maar andere mallware kan deze net zo goed ongemerkt stelen om valse identiteiten mee te maken. Dan draait het bedrijf niet op voor zijn nalatigheid, maar iedereen in het klantenbestand.

De vraag moet niet zijn of men moet betalen maar wat men moet doen om niet hoeven te betalen. Het antwoord is simpel: opletten, adecuate beveiliging en backups. Als mallware geen grip op bestanden kan krijgen kan de winkel ook sluiten. Maar de winkel kan gewoon open blijven omdat men nog steeds geen zin heeft om de oorzaak van het probleem aan te pakken. Zo lang die bewustwording niet van de grond komt, blijft dit soort mallware succesvol, of er nu betaald wordt of niet; in sommige gevallen komen bedrijven er namelijk niet onderuit omdat ze anders de deuren kunnen sluiten.

@Forest: Klopt. En zou je iedere schade voor jezelf zonder meer accepteren om dat nobele doel te bereiken ?

Volledig mee eens.
Niet betalen is natuurlijk ethisch, maar niemand "in their right mind" zou zijn bedrijf opgeven voor +/- 500 euro.

Aan de andere kant laat het wel weer zien hoe belangrijk backups wel niet zijn. Als die in orde is, dan hoeft niemand te betalen

Persoonlijk denk ik ook dat betalen nooit zou moeten gebeuren. Spam zou ook niet moeten gebeuren maar het levert de verzenders genoeg op dat het maar blijft komen. Dus practisch gezien gaat het betalen het uiteindelijk winnen van de principes. En ergens is dat niet heel verwonderlijk, want je hebt jezelf opengelaten voor dit soort misbruik door infecteerbare systemen te gebruiken en geen backups bij te houden. Maarja, dat is ook maar werk.

Lijkt me een mooi verkoopargument om windows-vrije desktopomgevingen plus integrale backups en onderhoudscontracten aan te bieden. Inderdaad, geen half werk maar op alle punten waar malware technisch kan ingrijpen de boel dichttimmeren.

En het kan best voor het gros van de kantoorautomatisering. De laatste beetjes kun je dan op een afgescherme windowsmachine of -vm laten rommelen (checkpointing!) en gelijdelijk aan door iets anders vervangen.

Dit is belangrijk ook voor achterblijvende windowsgebruikers, want de monocultuur die we nu hebben is extreem malwaregevoelig. Meer, verschillende, onderling malware-incompatible systemen in brede inzet perken het risico in en daar wint iedereen mee. Behalve de malwareschrijvers, natuurlijk.