- Nederlandse wetgeving verbiedt losgeldbetalingen niet, maar betalen aan een groep die onder EU-sancties valt is een overtreding van de Sanctiewet 1977
- De Autoriteit Persoonsgegevens is helder: betalen verlaagt de AVG-boete niet en heft uw meldplicht niet op
- Circa 40% van de betalende slachtoffers herstelt niet alle versleutelde data; bij dubbele afpersing verwijdert de aanvaller gestolen data zelden na betaling
- Betalen vergroot de kans op een herhaalaanval: criminelen noteren welke slachtoffers betalen en keren terug
- Neem de betalingsbeslissing als beleid in de raad van bestuur vóór een aanval, niet onder crisisdruk met systemen offline
De Nederlandse juridische positie
Geen specifieke Nederlandse wetgeving verbiedt losgeldbetalingen na een ransomware-aanval. Het Wetboek van Strafrecht stelt de aanval strafbaar; het gedrag van slachtoffers valt buiten de reikwijdte. De Wet computercriminaliteit richt zich op de dader.
Het juridische risico zit elders. De Sanctiewet 1977 en de EU-sanctieverordeningen verbieden het ter beschikking stellen van middelen, direct of indirect, aan aangewezen individuen of entiteiten. Meerdere grote ransomware-groepen en hun operators staan op de EU-sanctielijst, waaronder LockBit en met Rusland verbonden cybercriminelen. Betalen aan deze groepen is een potentiële overtreding, ook als u daartoe wordt gedwongen.
Stel de identiteit van de groep vast voordat geld beweegt. Incidentresponsbedrijven schrijven een aanval doorgaans binnen uren toe aan een bekende groep. Betaling aan een gesanctioneerde entiteit levert een overtreding op; spontane melding aan de bevoegde sanctietoezichthouder en actieve medewerking tellen als verzachtende omstandigheid.
Het NCSC-NL adviseert niet te betalen: losgeld financiert criminele activiteit en trekt nieuwe aanvallen aan. Wie toch betaalt, hoeft dat niet bij het NCSC-NL te melden, maar aangifte bij de politie doet u altijd: die gegevens ondersteunen attributieonderzoek en verstoringsoperaties.
Wat betaling u niet geeft
De aanname achter losgeld betalen is dat u een werkende decryptiesleutel ontvangt en de aanvaller uw data verwijdert. Beide aannames kloppen in de praktijk niet.
Decryptie is niet gegarandeerd
Decryptors die na betaling worden geleverd, zijn traag, foutgevoelig op grote bestandssystemen en beschadigen soms bestanden in plaats van ze te herstellen. Herstel via een decryptor duurt langer dan herstel vanuit schone back-ups.
Verwijdering van gestolen data is niet verifieerbaar
Dubbele afpersing, waarbij de aanvaller data exfiltreert voor versleuteling en dreigt deze te publiceren, is het dominante ransomware-model. U kunt niet controleren of een aanvaller geëxfiltreerde data na betaling daadwerkelijk verwijdert. Onderzoekers die dark web-leksites volgen, documenteerden gevallen waarbij data maanden na betaling alsnog verscheen.
De AP laat zich niet beïnvloeden door betalingsbeslissingen
De Autoriteit Persoonsgegevens is hierover helder. Leidde de aanval tot ongeautoriseerde toegang tot persoonsgegevens, dan heeft u een meldingsplichtig datalek onder de AVG, ongeacht of u betaalde. Of u losgeld betaalde speelt geen rol bij de beoordeling of uw organisatie vóór de aanval passende technische en organisatorische maatregelen had getroffen.
Implicaties voor de cyberverzekering
De meeste Nederlandse cyberverzekeringen dekken ransomware-incidenten inclusief losgeld, maar de voorwaarden zijn strikter dan verzekeringnemers vaak beseffen.
Verzekeraars eisen melding van het incident vóór enige betaling. Polissen met ransomware-dekking bevatten vrijwel altijd een voorafgaande goedkeuringsvereiste: de verzekeraar moet akkoord gaan voor geld wordt overgemaakt. Betaalt u zonder uw verzekeraar te informeren, dan riskeert u dat de ransomware-dekking vervalt. Sommige polissen sluiten betalingen aan gesanctioneerde groepen bovendien expliciet uit, wat het sanctierisico van boven verdubbelt.
Wanneer organisaties betaling overwegen
Ondanks de risico's betalen organisaties losgeld. Welke omstandigheden spelen daarin een rol, en wat betekent dat voor uw beleid vóór een aanval?
- Onvervangbare data. Als u geen bruikbare back-ups heeft, zijn ze mee versleuteld, of dateren ze van weken terug, is betaling soms de enige weg naar dataherstel.
- Kritieke dienstverlening. Een zorginstelling waarvan zowel patiëntdata als klinische systemen versleuteld zijn, maakt een andere afweging dan een bedrijf dat binnen 48 uur vanuit back-up kan herstellen.
- Reputatie van de groep op decryptie. Sommige groepen onderhouden bewust een reputatie voor werkende decryptors, omdat hun verdienmodel staat of valt bij slachtoffers die geloven dat betaling resultaat oplevert. Incidentresponsbedrijven volgen dit per groep.
Geen van deze factoren heft de sanctiecontrole op. Beantwoord eerst "aan wie betalen we?" voordat u "betalen we?" beslist.
Wat u voordien moet regelen
- Geteste, geïsoleerde back-ups. Back-ups die bereikbaar zijn vanuit de productieomgeving worden bij de meeste aanvallen mee versleuteld. Houd back-ups offline of logisch geïsoleerd en test minstens elk kwartaal of u ook werkelijk kunt herstellen.
- Een incidentresponsplan met daarin de betalingsbeslissing. Wie mag losgeld autoriseren? Wie toetst de sanctiepositie? Wie meldt bij de AP en de verzekeraar?
- Kennis van uw cyberpolis. Lees de ransomware-clausule nu, voor er een incident is. Ken de meldingsvereiste, de goedkeuringsvereiste en de uitsluitingen.
- Een incidentresponsbedrijf op retainer. Een retainerovereenkomst geeft u toegang tot ransomware-attributie-expertise binnen uren na een aanval, ruim voor u een betalingsbeslissing neemt.
Wat u in de eerste 72 uur na een ransomware-aanval doet, staat in onze gids over ransomware-respons.
Dit artikel bevat algemene informatie en geen juridisch advies. De sanctiepositie verandert wanneer aanwijzingen worden toegevoegd of ingetrokken. Schakel een advocaat met kennis van sanctiewetgeving en cybersecurity in voordat u een betalingsbeslissing neemt tijdens een actief incident.
