06 jan
De inkt van onze decemberblog was nog niet opgedroogd of het nieuws van de hack van de Universiteit van Maastricht haalde de koppen. Inmiddels wordt er gespeculeerd over de vraag of er wel of geen losgeld is betaald om de versleuteling op te heffen – het minste van twee kwaden, dat in de praktijk vaak wordt gekozen om grotere schade te voorkomen. De woordvoerders en IT-teams zullen bepaald geen rustige feestdagen achter de rug hebben, en de website van het universiteitsmagazine, dat bericht over de laatste ontwikkelingen, zal nog niet eerder zo druk bezocht zijn.
In onze optiek zijn twee dingen belangrijk in dit vervelende incident, dat verstrekkende gevolgen heeft voor alle betrokkenen.
Ten eerste: wie anno 2020 nog steeds zegt ‘dit overkomt ons niet’ is naar onze bescheiden mening nog niet helemaal wakker. Digitale criminelen hanteren de wet van de grote getallen, zoals wij in een eerder blog al schreven: https://www.threadstone.eu/nieuws/blogs/john-van-den-heuvel-en-de-wet-van-de-grote-getallen. Moesten zij vroeger nog één grote klapper maken, zoals een bank beroven of een magnaat ontvoeren, nu kunnen zij met een ransomware-aanval in één muisklik duizenden computers versleutelen. Als getroffen ondernemer kun je ineens nergens meer bij, de enige opties zijn de back-up terugzetten (als die er is) óf de sleutel kopen bij de criminelen.
Toevallig slachtoffer
Veelal worden bedrijven niet vooraf gekozen als target, maar gaat het om 'toevallig slachtofferschap'. Cybercriminelen gooien hun netten uit en kijken bij het ophalen wat erin is blijven hangen. Wie heeft getraind om goed te zwemmen en de netten herkent, heeft grotere kans om er niet in verstrikt te raken. Van veel organisaties, zeker van de kleinere die geen grote IT-budgetten en -afdeling hebben, is het basisniveau van 'cyberweerbaarheid' dermate laag dat het niet de vraag is óf maar wannéér zij slachtoffer worden.
Zeker als je bedenkt dat de lijst met dreigingen wereldwijd blijft groeien. Het aantal ransomware-aanvallen is in 2019 met 158% gegroeid ten opzichte van het jaar ervoor. Het aantal kwetsbaarheden waarop wij bij ThreadStone controleren, ligt inmiddels op 123.454. Gemiddeld komen er zo’n 1.500 nieuwe kwetsbaarheden per maand bij (toen wij startten in 2014 lag dit aantal nog op zo’n 800 nieuwe kwetsbaarheden per maand).
Niet afwachten
Dat brengt mij bij het tweede punt: wacht niet op een incident, maar ga komend jaar écht aan de slag met cyberweerbaarheid. Dat hoeft niet groots en ingewikkeld. Sterker nog: met beleid kleine maar concrete stappen zetten heeft meer effect. Zorg voor voldoende aandacht en bewustzijn bij directie en medewerkers. Houd systemen bij met patches en updates. Regel back-ups en herstelmogelijkheden in die aansluiten bij de eisen van jouw specifieke business. Als je met die drie aandachtspunten begint, ben je een heel eind op de goede weg!
De Universiteit van Maastricht heeft aangekondigd de bevindingen uit het onderzoek naar de hack te zullen delen met zusteruniversiteiten en andere belanghebbenden zoals opsporingsinstanties en cybersecuritybedrijven. Dat zouden meer organisaties moeten doen. Wij volgen de ontwikkelingen op de voet en wensen hen in ieder geval veel sterkte met de herstelwerkzaamheden!