Begin dit jaar werd bij Odido een grote hoeveelheid gevoelige data gestolen. Het bedrijf koos ervoor niet te voldoen aan de losgeldeisen van de aanvallers, waarna de data openbaar werden gemaakt. Deze keuze sluit aan bij de richtlijnen van de overheid, maar in de praktijk is het voor organisaties vaak complex om deze richtlijnen te volgen. De beslissing om wel of niet te betalen hangt af van verschillende technologische, juridische en strategische factoren. Zo speelt mee of systemen binnen een acceptabele termijn en veilig kunnen worden hersteld vanaf back-ups, of er daadwerkelijk waardevolle data zijn gestolen, en of de aanvallers banden hebben met gesanctioneerde entiteiten, wat betaling illegaal maakt. Daarnaast is het cruciaal om te beoordelen of betaling het probleem oplost of juist verdere aanvallen stimuleert.

Een gedegen incident response plan met ondersteuning van ervaren ransomware-onderhandelaars is essentieel om een weloverwogen beslissing te nemen. Onderhandelen met cybercriminelen is geen spontane uitwisseling van berichten, maar een gestructureerd proces dat begint met het verzamelen van informatie. Incident responders brengen eerst de dader in kaart voordat er over betaling wordt gesproken. Dit is belangrijk omdat sommige ransomwaregroepen banden hebben met terroristische organisaties of landen waarop sancties rusten. In die gevallen is betaling volgens internationaal recht verboden en moet communicatie worden stopgezet.

Als onderhandelen wettelijk toegestaan is, volgt een beoordeling van de aanval. In ongeveer 98% van de ransomware-incidenten wordt ook data gestolen, waardoor het risico verschuift van een operationele verstoring naar reputatie- en regelgevingsrisico’s, zoals bij Odido. Organisaties betalen vaak niet om toegang tot systemen te herstellen, maar om publicatie van gevoelige data te voorkomen. Onderhandelaars valideren daarom de beweringen van de aanvallers door bewijs van de gestolen data te vragen en de waarde ervan te beoordelen. Dit voorkomt dat organisaties onder druk de impact overschatten. Is de data niet waardevol, dan wordt meestal afgeraden te betalen. Is de data wel waardevol, dan proberen onderhandelaars het losgeld te verlagen.

De expertise van onderhandelaars is hierbij doorslaggevend. Ransomwaregroepen verschillen in hun onderhandelingsbereidheid; sommige weigeren te onderhandelen, anderen verlagen het bedrag enigszins, en een klein aantal accepteert soms minder dan 10% van het oorspronkelijke losgeld. Uit onderzoek blijkt dat gestructureerde onderhandelingen het losgeld gemiddeld met 67% kunnen verlagen, met een totale besparing tot 94% wanneer ook incidenten worden meegerekend waarin betaling volledig werd voorkomen. Organisaties die zelf proberen te onderhandelen betalen vaak het volledige bedrag of meer, mede door transactiekosten van cryptovaluta.

Het gedrag van cybercriminelen verandert; zij opereren steeds vaker als legitieme bedrijven door zich te specialiseren en te professionaliseren. Hierdoor wordt onderhandelen een complexe discipline die cybersecurity, risicobeheer en crisisbesluitvorming raakt.