Uit de eerste ransomware-rapportage van de Autoriteit Persoonsgegevens (AP) blijkt dat organisaties onvoldoende weerbaar zijn tegen ransomware. In 2023 werden 178 unieke geslaagde aanvallen gemeld, waarbij het totale aantal getroffen organisaties door ketenaanvallen in de honderden loopt. Persoonlijke gegevens van miljoenen Nederlanders kwamen hierdoor in gevaar. Bij twee op de drie getroffen organisaties was de basisbeveiliging niet op orde.

Een ransomware-aanval houdt in dat hackers met speciale software bestanden met privacygevoelige gegevens versleutelen en losgeld eisen om deze weer vrij te geven. Daarnaast dreigen zij steeds vaker met het verkopen of openbaar maken van de data. Soms richten zij zich op één bedrijf, maar vaak worden ook IT-leveranciers aangevallen die voor meerdere organisaties werken. Zo werden vorig jaar bij één aanval meer dan 200 organisaties tegelijk getroffen, met gegevens van 2,5 miljoen mensen.

Voor het onderzoek heeft de AP 90 organisaties nader onderzocht. Hierbij ging het om datasets met miljoenen persoonlijke gegevens, zoals e-mails, telefoonnummers, paspoortkopieën, bankgegevens en wachtwoorden. De meeste organisaties hadden onvoldoende maatregelen getroffen, zoals het ontbreken van multifactorauthenticatie, slecht wachtwoordbeleid en het niet tijdig updaten van software. Ook worden gevoelige gegevens vaak nog op één server bewaard in plaats van verspreid over gescheiden netwerken, wat de kwetsbaarheid vergroot.

Er is een duidelijke trend zichtbaar van dubbele afpersing, waarbij hackers niet alleen bestanden versleutelen, maar ook dreigen met publicatie of verkoop van data. Bijna de helft van de organisaties gaf aan hiermee te maken te hebben gehad. De meeste organisaties (82 van de 90) hebben echter geen losgeld betaald.

Het Digital Trust Center adviseert om nooit losgeld te betalen, omdat dit geen garantie biedt op herstel van gegevens en het risico op herhaalde afpersing vergroot. Bovendien ondersteunt betaling criminele activiteiten. Organisaties die hun basisbeveiliging willen verbeteren kunnen mogelijk gebruikmaken van de subsidieregeling Mijn Cyberweerbare Zaak, die helpt bij het implementeren van maatregelen zoals een wachtwoordmanager, multifactorauthenticatie en back-ups.