Bijna niemand doet aangifte na een ransomware-aanval, al zegt negen op de tien ondernemers dat ze het zouden doen

Negen op de tien Nederlandse ondernemers zeggen aangifte te doen na een ransomware-aanval. In de praktijk doet minder dan een op de vijf dat. Promotieonderzoek van de Universiteit Leiden laat zien waarom, en wat die kloof tussen belofte en praktijk betekent voor jouw organisatie.

Je zou aangifte doen als je bedrijf getroffen werd door ransomware. Dat zegt negen op de tien ondernemers in Nederland als je het ze vooraf vraagt. In de praktijk gebeurt het bij minder dan een op de vijf. Dat gat tussen belofte en gedrag staat centraal in het promotieonderzoek van criminologe Sifra Matthijsse, die op 7 oktober aan de Universiteit Leiden promoveerde op de manier waarop ransomware-aanvallen verlopen en hoe slachtoffers beslissen te reageren.

Voor directeuren en eigenaren van Nederlandse organisaties is dat geen cijfer om overheen te lezen. De beslissing om wel of niet aangifte te doen valt meestal binnen enkele uren na een aanval, onder tijdsdruk en met een ransomnote nog open op het scherm. Wie op dat moment geen idee heeft wat te doen, kiest voor het snelste pad, en dat is vrijwel nooit de politie.

Wat het onderzoek laat zien

Van de ondernemers die daadwerkelijk slachtoffer werden van ransomware, nam 18 procent contact op met de politie. Van die groep deed vervolgens maar 26 procent ook daadwerkelijk aangifte, het officiële proces waarbij een zaak op papier komt te staan. Slechts 7 procent van de getroffen kleine bedrijven nam zelf contact op met de aanvallers. De rest loste het probleem op eigen kracht op, met hulp van een cybersecuritybedrijf, of gaf het simpelweg op.

De verklaring die Matthijsse optekende is nuchter: slachtoffers hebben vooral een snelle oplossing nodig, en die kan de politie meestal niet bieden. Onderzoek naar een ransomware-aanval is traag, technisch complex en vaak internationaal, terwijl een bedrijf binnen een paar dagen weer moet draaien. Dat gevoel van onmacht, niet onwil, is de belangrijkste reden dat de daadwerkelijke aangiftecijfers zo ver achterblijven bij de intentie.

Een criminele organisatie als elk ander bedrijf

Wat het onderzoek ook blootlegt, is hoe professioneel ransomware inmiddels georganiseerd is. Een kleine kernploeg bouwt en onderhoudt de malware, en verhuurt die vervolgens aan losse aanvalsgroepen die een deel van de buit afdragen. Toegang tot een slachtoffer wordt weer apart ingekocht bij gespecialiseerde criminele verkopers. Bij grotere aanvallen zijn in totaal veertig tot honderd mensen betrokken, elk met een eigen rol.

De aanvallers mikken bewust op beheerdersrechten, zodat herstel zonder hun hulp zo moeilijk mogelijk wordt. De meeste slachtoffers merken pas dat ze zijn binnengedrongen op het moment dat de losgeldeis verschijnt. Wie betaalt, krijgt in de meeste gevallen ook echt zijn bestanden terug, een vorm van klantenservice die criminelen bewust inbouwen om het verdienmodel in stand te houden. Een van de onderzochte groepen claimde zes jaar lang te draaien zonder één klant die zijn bestanden niet terugkreeg.

Waarom aangifte toch het overwegen waard is

Dat de politie niet binnen een dag een probleem oplost, betekent niet dat aangifte doen nutteloos is. Soms levert langlopend onderzoek wel degelijk iets op. Bij een grote aanval op Nederlandse opslagapparaten in 2022 wist de politie, samen met internationale partners, betaalde losgelden terug te draaien en ontsleutelingssleutels te bemachtigen. Iedereen die daarvan eerder aangifte had gedaan, kreeg zijn bestanden kosteloos terug. Zonder aangifte was dat niet mogelijk geweest.

Ook zet aangifte een aanval op de kaart voor het grotere opsporingsbeeld. Projecten waarin politie, justitie en cybersecuritybedrijven internationaal samenwerken, zoals de actie die eerder dit jaar een groot deel van het Qakbot-netwerk ontmantelde, draaien op de meldingen en techniek die individuele slachtoffers aanleveren. Een aanval die nergens geregistreerd staat, telt in die aanpak simpelweg niet mee.

Daarnaast is aangifte bij de politie geen vervanging voor de wettelijke meldplicht. Zijn er persoonsgegevens geraakt, dan moet je dat los daarvan binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Die twee meldingen lopen via verschillende instanties, met verschillende doelen, en allebei overslaan omdat je de ene al gedaan hebt, is een veelgemaakte vergissing.

Wat je nu kan regelen

Je bepaalt dit het beste voordat een aanval zich voordoet, niet tijdens. Leg vooraf vast wie je belt als het misgaat: je IT-partner voor het technische herstel, en de politie voor aangifte, in die volgorde maar zonder de tweede stap te laten vallen. Maak een lijst met contactgegevens die ook werkt als je bedrijfsnetwerk plat ligt.

Zorg voor back-ups die fysiek of logisch gescheiden zijn van je productieomgeving, zodat een aanvaller die beheerdersrechten bemachtigt ze niet ook kan versleutelen. Test het herstel van die back-ups minstens een keer per jaar, niet alleen het maken ervan. En spreek binnen je team af wie bij een incident de beslissing neemt over wel of niet betalen, zodat die keuze niet alleen bij de persoon ligt die toevallig als eerste de ransomnote ziet.

Komt het toch zover: doe aangifte, ook als je niet verwacht dat het snel iets oplevert. Het is het enige kanaal dat op termijn daders kan opsporen en soms zelfs je eigen bestanden teruggeeft. Wil je die voorbereiding nu al op orde brengen, van een werkend back-upplan tot een helder stappenplan voor als het misgaat? Zarioh helpt organisaties met de beveiliging en respons die dat mogelijk maakt. Neem gerust contact op voor een vrijblijvend gesprek.