Ransomware: wat nu?

De eerste 15 minuten. Haal de apparaten van het netwerk. Betaal niets. Maak foto's van het scherm. Bel je IT-beheerder of ons. De rest hieronder is de volgorde voor daarna.

Eerst: ben je zeker?

Ransomware herken je aan een van deze dingen: bestanden die ineens niet meer openen of een vreemde extensie hebben (bijvoorbeeld .locked), een scherm of tekstbestand met een losgeldbrief, of een melding dat je gegevens zijn gestolen en gepubliceerd worden. Twijfel je? Behandel het alsof het ransomware is. Je verliest niets door op safe te spelen.

Stap 1. Stop de verspreiding (direct)

1. Haal het netwerk eruit. Netwerkkabel eruit, wifi uit. Doe dit bij de besmette computer en, als je kunt, bij de andere apparaten die op hetzelfde netwerk zitten.
2. Zet de computer niet uit en start hem niet opnieuw op, tenzij een specialist dat zegt. Uitzetten kan bewijs kwijtraken. Alleen van het netwerk halen is genoeg.
3. Haal aangesloten opslag los: externe schijven, USB-sticks, NAS en gedeelde mappen. Ransomware versleutelt ook alles wat eraan hangt.
4. Laat je back-ups met rust en sluit ze niet aan op een besmette computer. Back-ups zijn je beste kans om terug te komen.

Stap 2. Leg vast wat je ziet

• Maak foto's van het scherm (met je telefoon) en van de losgeldbrief. Let op de naam van de groep, het e-mailadres of de .onion-link.
• Schrijf op: hoe laat merkte je het, welke computer, en wat je net deed (een mail geopend, een bijlage, een link, een update).
• Verwijder of hernoem niets. Het is bewijs en helpt bij herstel.

Stap 3. Betaal niet (in elk geval niet zonder overleg)

Er is geen garantie dat je je bestanden terugkrijgt, ook niet als je betaalt. Je financiert criminelen, en betalers worden vaak opnieuw getroffen. Voor sommige groepen bestaan gratis ontsleutelhulpmiddelen: kijk op nomoreransom.org en upload daar een versleuteld bestand en de losgeldbrief om te zien of er een oplossing is. Overweeg je toch te betalen, doe dat dan nooit zonder juridisch en technisch advies. Ook kunnen sancties of regels voor witwassen meespelen.

Stap 4. Bel de juiste mensen

1. Je IT-beheerder of IT-leverancier. Heb je die niet? Neem contact met ons op, zie onderaan.
2. De politie: doe aangifte, ook als je niet betaalt. Neem de foto's en je notities mee.
3. Je verzekeraar, als je een cyberverzekering hebt. Veel polissen vragen om melding binnen een korte termijn en bieden vaak hulp.
4. Je bank, als er betaalgegevens of rekeningnummers bij zijn betrokken.
5. Klanten en relaties, als hun gegevens mogelijk zijn gestolen. Bij persoonsgegevens kan een meldplicht gelden. Vraag juridisch advies over wat voor jou van toepassing is en binnen welke termijn.

Stap 5. Wijzig wachtwoorden (vanaf een schoon apparaat)

Gebruik een computer of telefoon die niet besmet is. Begin met: e-mail, bank, cloud-opslag, beheeraccounts en alles waar dezelfde wachtwoorden werden gebruikt. Zet overal MFA (tweestapsverificatie) aan. Log op alle plekken uit waar ingelogd is.

Stap 6. Herstellen

• Laat een specialist vaststellen hoe de aanvaller binnenkwam voordat je alles terugzet. Anders komt hij gewoon terug.
• Herstel niet over de besmette installatie heen. Maak de apparaten schoon (opnieuw installeren) en zet dan de gegevens terug uit een back-up die van vóór de besmetting is.
• Controleer de back-up eerst op besmetting, op een aparte computer.
• Installeer eerst alle updates, daarna pas verbind je het apparaat weer met het netwerk.

Wat je beter niet doet

• Onderhandelen of reageren op de afperser zonder deskundige hulp.
• Zelf "opruimprogramma's" downloaden van internet of uit de losgeldbrief.
• Het apparaat weggooien of formatteren voordat het onderzocht is.
• Doen alsof er niets gebeurd is. Hoe eerder je het meldt, hoe kleiner de schade.

Zo voorkom je het volgende keer

1. Back-ups volgens de 3-2-1-regel: drie kopieën, op twee soorten opslag, waarvan één offline of buiten het netwerk. Test regelmatig of terugzetten werkt.
2. MFA op e-mail, bank, cloud en beheeraccounts.
3. Updates op computers, routers en servers, automatisch waar het kan.
4. Train je team om phishing te herkennen. De meeste ransomware begint met één klik.
5. Geef mensen niet meer rechten dan ze nodig hebben (geen beheerdersaccount voor dagelijks werk).

Dit is algemene informatie, geen juridisch advies. Elke situatie is anders.