Het doelwit van ransomware verandert nu aanvallers zich vaker op leidinggevenden richten
Jarenlang werd ransomware vooral gezien als een technisch probleem. Kwaadaardige code dringt een netwerk binnen, systemen worden versleuteld en het bedrijf komt stil te liggen. Die visie gaat echter voorbij aan een cruciaal onderdeel van de aanvalsketen: voordat malware kan toeslaan, hebben ransomwaregroepen eerst toegang nodig. Die toegang verkrijgen ze steeds vaker via personen die door hun functie dicht bij bedrijfskritische informatie staan.
Nieuw onderzoek van Zscaler ThreatLabz voegt een menselijke dimensie toe aan het ransomwaredebat. In één maand tijd identificeerden de onderzoekers 351 slachtoffers bij 334 organisaties die in verband werden gebracht met een dreigingsactor. Deze actor richtte zich op het verkrijgen van initiële toegang, het stelen van bedrijfsgegevens en het selectief versleutelen van kritieke systemen. De bevindingen wijzen erop dat ransomware-actoren niet langer een zo groot mogelijk net uitwerpen, maar gericht werknemers selecteren bij wie compromittering vanwege hun functie de grootste impact kan hebben.
Ransomware is nu een probleem van zakelijke toegang
Uit het onderzoek van ThreatLabz bleek dat 62 procent van de slachtoffers een functie op managementniveau of hoger bekleedde. Aanvallers hechten nog steeds veel waarde aan technische toegangsrechten, maar richten zich in toenemende mate ook op zakelijke toegangsrechten. Daarbij gaat het met name om toegang tot budgetten, leveranciers, klanten, contracten, HR-gegevens en bedrijfsactiviteiten.
Een gecompromitteerde manager kan misschien geen firewallregels wijzigen, maar heeft vaak wel toegang tot de relaties en informatie die een aanvaller nodig heeft om de druk op te voeren. Facturen, goedkeuringsprocessen, klantgegevens, contracten, projectbestanden en communicatie op hoog niveau kunnen samen al snel een beeld geven van de commerciële, operationele en reputatiegevoelige zwakke plekken van een organisatie.
Verder bleek dat meer dan driekwart van de slachtoffers werkzaam was in vijf bedrijfsfuncties: boekhouding en financiën, sales, operations, HR en marketing. Deze teams zorgen ervoor dat geldstromen doorgaan, klanten betrokken blijven, werknemers ondersteuning krijgen, leveranciersrelaties worden onderhouden en projecten op schema lopen. Daarnaast beheren zij de vertrouwde communicatie en gevoelige bestanden die aanvallers als drukmiddel kunnen inzetten.
De afdeling boekhouding en financiën was goed voor 18 procent van de slachtoffers, gevolgd door verkoop en operations, beide met 17 procent. Dit laat zien hoe aanvallers denken. Financiële teams hebben toegang tot betalingsprocessen en leveranciersgegevens. Verkoopteams beschikken over klantrelaties, prijsafspraken, contracten en lopende deals. Operationele teams weten hoe de organisatie functioneert en waar verstoringen de meeste schade kunnen veroorzaken.
Waarom managers aantrekkelijke doelwitten zijn
Voor aanvallers bevinden managers zich op een strategisch knooppunt. Ze genieten vaak veel vertrouwen, dragen verantwoordelijkheid voor gevoelige gegevens en onderhouden voldoende contact met andere afdelingen om hun accounts bruikbaar te maken voor verdere verspreiding binnen het netwerk. Bovendien hebben ze het vaak druk, reageren ze snel en zijn ze gewend om met spoedverzoeken om te gaan. Daardoor kunnen aanvallers zich makkelijker geloofwaardig voordoen als iemand anders.
Juist hier schieten traditionele aannames over beveiliging soms tekort. Veel organisaties hebben volwassen processen voor het beschermen van domeinbeheerders, IT-accounts met hoge privileges en topbestuurders. Minder organisaties passen dezelfde zorgvuldigheid toe op middenmanagers die verantwoordelijk zijn voor commercieel gevoelige werkprocessen. Toch zijn juist deze werknemers vaak degenen die ransomwaregroepen moeten compromitteren om een aanval te laten escaleren tot een zakelijke crisis.
De samenwerkingslaag wordt een aanvalsvector
Het onderzoek belicht ook de technieken die aanvallers gebruiken om vertrouwen te winnen. Daarbij creëren zij bijvoorbeeld een gevoel van urgentie, doen zij zich voor als IT-medewerkers en maken zij gebruik van legitieme tools zoals Microsoft Teams en Quick Assist.
Moderne social engineering komt niet langer alleen binnen als een slecht geschreven e-mail van een onbekende afzender. Steeds vaker gaat het om een persoonlijk bericht via dezelfde samenwerkingsplatforms die werknemers dagelijks gebruiken, vermomd als een routinematig supportverzoek of een tijdskritieke zakelijke kwestie.
Dat verandert de beveiligingsuitdaging. Bewustwordingstrainingen die werknemers alleen leren om duidelijke phishing-signalen te herkennen, zijn niet meer voldoende. Werknemers moeten ook weten hoe zij verzoeken kunnen verifiëren die afkomstig lijken te zijn van IT, de financiële afdeling, HR, leveranciers of leidinggevenden. Daarnaast hebben ze eenvoudige escalatieroutes nodig, zodat ze een proces kunnen onderbreken en controleren zonder het gevoel te hebben dat ze de bedrijfsvoering onnodig vertragen.
Ransomware is niet langer enkel een beveiligingsincident
Ransomware is uitgegroeid tot een kwestie van veerkracht op bestuursniveau, in plaats van uitsluitend een beveiligingsincident. Aanvallers weten dat de dreiging om gestolen gegevens te publiceren, bedrijfsactiviteiten te verstoren of gevoelige informatie van klanten en leveranciers openbaar te maken, net zo goed als drukmiddel kan dienen als versleuteling.
Back-ups blijven essentieel, maar bieden geen oplossing voor het bredere probleem van datadiefstal, reputatieschade, juridische risico’s, verstoring van de dienstverlening aan klanten en operationele stilstand.
Voor bedrijfsleiders is de les dat cyberrisico’s in kaart moeten worden gebracht in relatie tot de afhankelijkheden binnen de organisatie. Wie heeft toegang tot de belangrijkste contracten, keurt betalingen goed, beheert leveranciersrelaties, exporteert klantgegevens of coördineert kritieke bedrijfsprocessen? Welke werkprocessen zouden bij verstoring tot ernstige problemen leiden? Welke samenwerkingskanalen worden zodanig vertrouwd dat een overtuigende imitator snel terrein kan winnen?
Die vragen helpen organisaties bepalen waar het risico op ransomware het grootst is en waar een cyberincident kan uitgroeien tot een breder bedrijfsrisico.
Hoe organisaties kunnen reageren
De oplossing is niet om managers de toegang tot noodzakelijke systemen te ontzeggen, maar om de potentiële schade (de ‘blast radius’) te beperken. Dat begint bij het aanmerken van zakelijke gebruikers met een hoog risico als een specifieke beveiligingsgroep. Financieel managers, salesmanagers, HR-businesspartners, operationeel managers, projectleiders en anderen met toegang tot gevoelige werkprocessen moeten expliciet worden meegenomen in risicomodellering, toegangscontroles, monitoring en plannen voor incidentrespons.
Vervolgens moet hun toegang zo veel mogelijk worden beperkt volgens het principe van least privilege: werknemers krijgen alleen toegang alleen toegang hebben tot de applicaties, gegevens en systemen die zij voor hun functie nodig hebben. Segmentatie kan helpen voorkomen dat een gecompromitteerd account als toegangspoort tot de rest van het netwerk dient.
Ook verificatie speelt een belangrijke rol. Samenwerkingsplatforms kunnen zo worden geconfigureerd dat ongevraagd extern contact, met name van onbekende gebruikers, wordt beperkt. Verzoeken van vermeende IT-medewerkers moeten via vertrouwde interne kanalen worden geverifieerd, in plaats van dat ze alleen op basis van urgentie of vertrouwdheid worden geaccepteerd.
Ten slotte moeten organisaties actief letten op signalen die op compromittering kunnen wijzen. Denk aan afwijkend gedrag van gebruikers, apparaten en applicaties, ongebruikelijk gebruik van tools voor toegang op afstand en onverwachte gegevensverplaatsing. Dat bij meer dan twaalf organisaties in het onderzoek meerdere werknemers slachtoffers werden, onderstreept de noodzaak om verder te kijken dan alleen het eerste gecompromitteerde account. Eén enkel slachtoffer kan slechts het zichtbare deel zijn van een bredere aanvalscampagne.
De verdediging tegen ransomware moet aansluiten bij de manier waarop aanvallers drukmiddelen opbouwen. De gebruiker met het grootste risico is niet altijd de hoogste leidinggevende of de beheerder met de meeste rechten. Het kan ook gaan om de manager die inzicht heeft in geldstromen, de salesmanager die klantrelaties beheert, de operationeel leidinggevende die weet welk proces absoluut niet mag uitvallen, of de HR-professional met toegang tot gevoelige werknemersgegevens.
Ransomware klimt hoger in de organisatie, omdat aanvallers hebben ontdekt dat zakelijke toegang net zo waardevol kan zijn als technische toegang. Organisaties moeten hun beveiligingsaanpak op die realiteit afstemmen.
Door: Brett Stone-Gross, Director of Threat Intelligence bij Zscaler
