De afgelopen maanden zijn meerdere ziekenhuizen en grote gemeenten met ransomware geinfecteerd raakt, wat voornamelijk kwam doordat medewerkers bijlage en linkjes in privémail openden. Dat stelt het Nederlandse SecureLabs tegenover Security.NL. In februari en maart klopten zestien organisaties bij de IT-beveiliger aan. Het ging om vrij grote bedrijven, gemeentes, ziekenhuizen en een scholengemeenschap. "Bij ziekenhuizen zien we een stijgende trend", aldus Ronald Kingma van SecureLabs. Namen wil hij echter niet noemen.

Onlangs kwam Data Recovery nog met het nieuws dat zeker 28 Nederlandse bedrijven het doelwit van crypto-ransomware waren geworden. Hierbij werden alleen NAS-systemen geïnfecteerd. In de gevallen waar SecureLabs mee te maken kreeg ging het om werkstations. "Meestal waren het één of twee computers", merkt Kingma op. Wel kwam het voor dat vanaf de besmette werkstations aangesloten netwerkschijven geïnfecteerd en versleuteld raakten.

De infecties vonden vooral plaats via privémail, waarbij werknemers op hun Gmail- of Outlookaccount een bijlage of link naar Dropbox of Google Docs ontvingen. Op één na waren alle e-mails in goed Nederlands opgesteld. Eén van de berichten leek afkomstig van Giel Beelen van de radio en zag er legitiem uit, waardoor ontvangers de bijlage openden. Ook kwam het voor dat meegestuurde linkjes naar besmette websites wezen die misbruik van bekende lekken in bijvoorbeeld Adobe Reader, Internet Explorer en Flash Player maakten. Updates voor deze kwetsbaarheden waren niet geïnstalleerd.

Eén getroffen organisatie raakte de volledige administratie kwijt en beschikte niet over een back-up. De overige organisaties hadden wel back-ups gemaakt, waardoor de impact meeviel. Zo waren systemen een paar uur uit de lucht of ging er wat data verloren. Bij de ziekenhuizen ging het om administratieve systemen en groepsschijven waar geen patiëntgegevens op stonden.

Niet betalen

Kingma adviseert getroffen organisaties en bedrijven om niet te betalen. "Je weet niet wat de gevolgen zijn. Je doet zaken met criminelen. Wij volgen dan ook het advies van de politie op." Volgens de beveiligingsexpert is het daarnaast ook niet zeker dat bedrijven die wel betalen de decryptiesleutel krijgen. De organisatie die de administratie verloor heeft niet laten weten of ze uiteindelijk het gevraagde losgeld voor het ontsleutelen van de bestanden heeft betaald. "Ik heb ze het advies gegeven om het niet te doen", laat Kingma weten.

Onlangs stelde anti-virusbedrijf Sophos nog dat moet worden voorkomen om te betalen, maar het oké is als er geen andere oplossing voorhanden is. Ook Kingma kan hier in komen. "Als je niets anders hebt en het is een bedrag waar je overheen kunt komen, dan zou je het kunnen proberen." Geen één van de getroffen bedrijven besloot uiteindelijk aangifte bij de politie te doen. "Het was back-ups terugzetten en gewoon weer doorgaan", besluit Kingma.