Kun je ontslagen worden als je op een schadelijke link klikt?

Plots gebeurt het: je kunt niet meer bij de bestanden van je bedrijf. Alles zit op slot en in een melding staat dat je de sleutel pas weer krijgt als je via bitcoin losgeld betaalt. Je bent dan slachtoffer van ransomware.

Uit iets verouderde cijfers van het CBS blijkt dat in 2021 ruim 2.000 bedrijven en 4.000 zzp'ers slachtoffer zijn geworden van ransomware. Hoeveel dat er nu zijn is lastig te zeggen, vertelt Tom Meurs, PhD-student cybercrime bij Universiteit Twente. Meurs doet bij de politie onderzoek naar ransomware en ziet dat er ongeveer 100 aangiften per jaar worden gedaan. Maar één aangifte kan gepaard gaan met honderden slachtoffers, als het bijvoorbeeld om een leverancier gaat.

'Dat aantal groeit en wordt nog veel groter', zegt cybercriminaliteit-expert Peter Lahousse, die op zijn website cybercrimeinfo.nl in overleg met de politie informatie publiceert over ransomware-aanvallen bij bedrijven. 'Er zijn nog complete generaties criminelen die hier nog niet thuis in zijn en dat verschuift langzaam.'

Betalen of niet?

Ransomware-aanvallen starten vaak via phishing. Het kan al misgaan na het klikken op een verkeerd linkje in een e-mail, waarbij criminelen je inloggegevens ontfutselen. Of na het downloaden van een bijlage waarmee je onbewust toegang verleent tot de computersystemen. Vroeger werden je bestanden dan direct op slot gezet en werd er vaak een onrealistisch hoog geldbedrag gevraagd. Tegenwoordig breken criminelen in, verblijven ze een tijdje in de systemen om onder andere de back-ups kapot te maken en je jaaromzet te bekijken en vragen ze vervolgens een realistisch geldbedrag dat je als bedrijf kunt missen.

'Ransomwarecriminelen doen veel onderzoek naar het slachtoffer, om dan met een specifiek bedrag te komen', vertelt Meurs. 'Bij een groot bedrijf zoals Shell of Philips heb je het dan over miljoenen, bij een kleiner bedrijf praat je over tonnen.'

Ben je slachtoffer, dan is de grote vraag of je betaalt of niet. Het is een duivels dilemma, want als je betaalt, beloon je deze misdaad en financier je direct de aanval op het volgende slachtoffer. Betaal je niet, dan kost het vaak meer – onder andere door het omzetverlies doordat het bedrijf tijdelijk niet kan functioneren. 'Er is ook een risico dat de aanvaller de sleutel niet teruggeeft en zegt: betaal nog maar een keer', vertelt Meurs. 'Maar rond de 90 procent van de bedrijven die wel betaalde, had geen keus. Die moesten betalen of het betekende het einde van het bedrijf.'

Je weren als bedrijf

Een goede basisbeveiliging is het belangrijkste wapen tegen ransomware. Denk aan het installeren van software-updates en het instellen van multifactorverificatie voor iedereen binnen het bedrijf. Via multifactorverificatie wordt de identiteit van een medewerker niet enkel met een wachtwoord bevestigd, maar bijvoorbeeld ook met een vingerafdruk of een code uit een app. Daarnaast is het belangrijk dat bedrijven hun ICT-kant inventariseren, zoals welke apparaten er zijn verbonden aan het netwerk en hoeveel mensen toegang hebben. Zitten daar nog mensen tussen die inmiddels uit dienst zijn?

Door de angst voor ransomware duiken nu veel cybersecuritybedrijven op. ‘Het is een verdienmodel geworden', stelt Lahousse. 'Maar die partijen doen vaak beloften die ze niet kunnen waarmaken.' Belangrijker is om zelf de basisbeveiliging goed in te stellen en daar dan eventueel hulp bij te vragen. 'Dat hoeft niet veel te kosten. Gewoon een gesprek met iemand die er verstand van heeft.'

Geen schaamte

Het is verkeerd om te denken dat je geen slachtoffer kunt worden van ransomware, want deze criminelen gaan zeer geraffineerd te werk. 'Phishing kun je niet meer herkennen', stelt Lahousse. Volgens de cybersecurity-expert kiezen deze criminelen daarom vaak een slachtoffer in het bedrijf dat meerdere dingen tegelijk doet. Bijvoorbeeld de telefoniste die moet bellen en e-mails leest. Die leest mogelijk een e-mail niet goed, met alle gevolgen van dien.' Wat je kunt doen? 'Klik niet op links, maar ga zelf naar de website en verifieer bij de bron of die inderdaad een document heeft verstuurd voordat je het opent.’

Twijfel je over iets of heb je ergens op geklikt dat niet had gemoeten, dan is het belangrijk om dat niet stil te houden. 'Praat erover als je ergens een naar gevoel bij hebt', raadt Lahousse aan. 'Ga het niet verdoezelen, maar trek gelijk aan de bel als je iets ziet.' Daar is Meurs het mee eens: ‘Als er iets gebeurt, ga dan zo snel mogelijk naar de IT-afdeling. Laat weten dat je iets stoms hebt gedaan. Het lastige van cybercriminaliteit is schaamte, maar het kan iedereen overkomen.’

Als je toch een fout maakt

Het goede nieuws voor werknemers die zich zorgen maken, is dat zij meestal niet verantwoordelijk zijn als het misgaat. 'De verplichting ligt allereerst bij de werkgever die zijn data en systemen goed moet beveiligen', vertelt IT-advocaat Natascha van Duuren. 'Van werkgevers wordt tevens verwacht dat ze hun werknemers opleiden via awarenesstrainingen. Als je dan toch ergens op klikt, kun je niet aansprakelijk worden gesteld.'

Wel worden in personeelshandboeken steeds meer regels opgenomen over het gebruik van apparaten en software, waar medewerkers zich aan moeten houden. Bijvoorbeeld over multifactorverificatie en het gebruik van usb-sticks. 'Daar staat vaak bij dat als een medewerker dit beleid niet naleeft, daar wel consequenties aan kunnen worden verbonden', vertelt Van Duuren. 'Maar het is primair aan de werkgever om ervoor te zorgen dat de werknemer voldoende wordt opgeleid en de systemen goed beveiligd zijn’.