Ransomwaregroepen richten zich niet langer alleen op productiesystemen, maar saboteren steeds vaker eerst de back-up voordat ze bestanden versleutelen. Dat stelt IT-beheerbedrijf Kaseya in een analyse van recente aanvallen. Het vernietigen van herstelmogelijkheden is een vaste stap in de aanvalsketen geworden, omdat slachtoffers zonder werkende back-up weinig andere keuze overhouden dan te betalen.
Bij de ransomwaregroep BlackMatter was het wissen van back-ups al “standaardprocedure”, met losgeldeisen die uiteenliepen van 80.000 tot 15 miljoen dollar. Bij recentere aanvallen van de groep Gunra verwijderden de aanvallers back-up- en archiefgegevens op zowel het primaire datacenter als de uitwijklocatie, waardoor slachtoffers geen enkele herstelroute overhielden. Ook de aanval van ALPHV/BlackCat op Change Healthcare in februari 2024 wordt aangehaald: UnitedHealth betaalde destijds 22 miljoen dollar losgeld, nadat herstel via eigen back-ups geen optie bleek.
De cijfers onderschrijven de trend. Volgens IBM kostte een gemiddeld ransomware-incident in 2025 al 5,08 miljoen dollar, en in 2026 ging 41 procent van de incidenten gepaard met aanvullende dreigementen om de reputatie van het slachtoffer te beschadigen. Tegelijk geeft 77 procent van de IT-organisaties aan dat hun cybersecurity-investeringen de dreiging niet meer kunnen bijbenen. CISA, FBI en NSA waarschuwen al langer dat back-upinfrastructuur een vast doelwit is geworden, in plaats van een bijzaak na de eigenlijke aanval.
Kaseya adviseert organisaties daarom niet te vertrouwen op een enkele back-upkopie binnen het eigen beheerdomein. Immutable, write-once-opslag die achteraf niet meer gewijzigd of verwijderd kan worden, vormt volgens het bedrijf de belangrijkste verdedigingslinie. Daarnaast is echte scheiding van back-upnetwerken en -inloggegevens van de productieomgeving essentieel. Wie eenmaal domeinbeheerder is, mag niet automatisch ook bij de back-ups kunnen. Back-upsystemen zelf moeten met dezelfde urgentie gepatcht worden als productieservers, en herstelprocedures moeten regelmatig daadwerkelijk getest worden in plaats van alleen op papier te bestaan.
Voor Nederlandse mkb-bedrijven en IT-beheerders is de les dat een back-up alleen iets waard is als een aanvaller er niet bij kan. Houd daarbij de bekende 3-2-1-regel aan: minimaal drie kopieën van de data, op twee verschillende soorten media, waarvan minstens één offline of immutable en los van het reguliere beheerdomein. Een groen vinkje in het back-updashboard zegt niets over of een herstel ook daadwerkelijk werkt, dus test herstelprocedures minstens eens per kwartaal in de praktijk. Geef back-upinfrastructuur bovendien dezelfde patchprioriteit als de systemen die ze moet beschermen. Wie dat nu op orde brengt, voorkomt dat een ransomware-aanval straks niet alleen de productiesystemen maar ook de laatste uitweg wegneemt.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Zorg voor minimaal één back-upkopie die immutable of offline is en los staat van het productienetwerk en de reguliere beheerdersaccounts. Test herstelprocedures regelmatig en patch back-upsystemen met dezelfde prioriteit als productieservers.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.