Ransomware. Four steps to a standstill. Ransomware. Vier stappen naar stilstand.

Ransomware almost never starts with a clever exploit. It starts with a login. A password reused from a breached webshop, a phishing mail asking to “re-authenticate”, a VPN or remote-desktop portal that was never given a second factor. The attacker signs in the way an employee would, from an unremarkable location, and nothing flags it. Days or weeks pass before anything visible happens.

Why this step matters most: it is the only point where stopping the attacker is still cheap. Every step after it costs orders of magnitude more. A second factor on every external login, and an internet-facing footprint that is small and patched, removes most entry routes at once.

Ransomware begint bijna nooit met een slimme exploit. Het begint met een inlog. Een wachtwoord dat ook bij een gehackte webshop werd gebruikt, een phishingmail die vraagt om “opnieuw te verifiëren”, een VPN- of remote-desktopportaal dat nooit een tweede factor kreeg. De aanvaller logt in zoals een medewerker dat doet, vanaf een onopvallende locatie, en niets slaat alarm. Er gaan dagen of weken voorbij voordat er iets zichtbaar gebeurt.

Waarom juist deze stap telt: het is het enige moment waarop de aanvaller nog goedkoop te stoppen is. Elke stap daarna kost een veelvoud. Een tweede factor op elke externe inlog, en een kleine, gepatchte buitenkant, sluit de meeste ingangen in één keer.

Once inside, the attacker encrypts nothing yet. They look around. On a flat network every server is reachable from every desk. An IT administrator who logs on to a workstation leaves credentials behind that can be harvested. Within days the attacker holds a domain administrator account — the keys to every system, including the ones that run the backups. From there, encrypting the entire estate is a scheduled task set to run on a Friday night.

Business impact: blast radius is the whole decision. A segmented network with separate admin accounts turns “the company is down” into “one department is down”. Same attacker, same entry point; a fraction of the cost.

Eenmaal binnen versleutelt de aanvaller nog niets. Hij kijkt rond. In een plat netwerk is elke server bereikbaar vanaf elk bureau. Een IT-beheerder die inlogt op een werkplek laat daar inloggegevens achter die geoogst kunnen worden. Binnen enkele dagen heeft de aanvaller een domeinbeheerdersaccount — de sleutel tot elk systeem, inclusief de systemen die de back-ups maken. Vanaf dat moment is het versleutelen van het hele bedrijf een geplande taak voor vrijdagnacht.

Bedrijfsimpact: de omvang van de schade is de hele beslissing. Een gesegmenteerd netwerk met gescheiden beheerdersaccounts maakt van “het bedrijf ligt plat” een “één afdeling ligt plat”. Dezelfde aanvaller, dezelfde ingang; een fractie van de kosten.

Encryption is the loud part, and it comes last. Before it, the attacker quietly copies out what hurts most: contracts, personnel files, customer data, board minutes, the M&A data room. Then they encrypt, and the ransom note has two halves — pay to get your systems back, and pay so we do not publish. Restoring from backup fixes the first half only.

Business impact: this turns an outage into a data breach. GDPR's 72-hour notification, a regulator, customers and staff to inform, and a leak site with our name on it — whether or not we pay. Gigabytes leaving for an address we have never talked to is detectable. But only if someone is watching.

Versleutelen is het luidruchtige deel, en het komt als laatste. Daarvóór kopieert de aanvaller in stilte wat het meeste pijn doet: contracten, personeelsdossiers, klantgegevens, bestuursnotulen, de dataroom van de overname. Daarna versleutelt hij, en het losgeldbriefje heeft twee helften — betaal om je systemen terug te krijgen, en betaal zodat wij niet publiceren. Herstellen vanaf back-up lost alleen de eerste helft op.

Bedrijfsimpact: dit maakt van een storing een datalek. De 72-uursmelding onder de AVG, een toezichthouder, klanten en medewerkers die geïnformeerd moeten worden, en een leksite met onze naam erop — of we nu betalen of niet. Gigabytes die vertrekken naar een adres waar we nooit mee gesproken hebben, is detecteerbaar. Maar alleen als iemand kijkt.

Attackers read the same playbooks we do. Before the encryption runs, they find the backup server — reachable with the same domain administrator account — and delete the backups, or encrypt them too. Cloud backup tied to a connected account? Deleted. A retention period an administrator can shorten? Shortened. What survives is only what the attacker could not touch: a copy that is offline, immutable, or in an account no stolen credential can reach.

Business impact: this is the difference between a bad week and an existential event. Companies with tested, untouchable backups restore and refuse to pay. The rest negotiate. “We have backups” is not the question. “When did we last restore everything, and how many days did it take?” is.

Aanvallers lezen dezelfde handboeken als wij. Voordat de versleuteling draait, zoeken ze de back-upserver — bereikbaar met datzelfde domeinbeheerdersaccount — en wissen ze de back-ups, of versleutelen ze die ook. Cloudback-up gekoppeld aan een verbonden account? Gewist. Een bewaartermijn die een beheerder kan verkorten? Verkort. Wat overblijft is alleen wat de aanvaller niet kon aanraken: een kopie die offline staat, onveranderbaar is, of in een account zit waar geen gestolen inlog bij kan.

Bedrijfsimpact: dit is het verschil tussen een slechte week en een existentiële crisis. Bedrijven met geteste, onaantastbare back-ups herstellen en weigeren te betalen. De rest onderhandelt. “We hebben back-ups” is niet de vraag. “Wanneer hebben we voor het laatst álles teruggezet, en hoeveel dagen kostte dat?” wel.