Het nieuws gaat het hele land rond: hackergroep Shinyhunters heeft de gegevens van meer dan zes miljoen klanten bij telecomprovider Odido in handen. Met een deel van de data op het dark web van onder andere namen, woonadressen en bankrekeningnummers is het een zaak met hoge prioriteit voor de politie. Zij hebben nu ook het onderzoek opgepakt. Uiteindelijk heeft de provider besloten het losgeld, die de criminelen eisen, niet te betalen na advies van cybersecurityadviseurs. Het lijkt een gedurfde zet te zijn met voordelen, maar ook een keerzijde aldus cybersecurityexpert Henri Beek. “Een lose-lose situatie”, vertelt hij.
Of de keuze van Odido verstandig was blijkt een meer ingewikkelde en genuanceerde vraag te zijn dan je misschien zou denken. Henri Beek, deskundige op het vlak van cybersecurity en cybercriminele dreigingen voor DataExpert benadrukt dit: “Als je niet betaalt, wordt er gedreigt met lekken, maar betaal je wel heb je nog steeds geen garantie of de data alsnog niet gelekt wordt”, vertelt Beek. Volgens de expert is er ook een kans op een zogenoemde ‘double extortion’. Dit betekent dat na de betaling van losgeld de criminelen nogmaals een dreigement maken voor een extra bedrag. Zowel betalen als niet betalen kan grote risico’s met zich meebrengen. “Eigenlijk is het alleen maar een lose-lose situatie”, zegt Beek. Een heel lastig scenario dus. Of Odido de juiste keuze heeft gemaakt, vindt Beek een ingewikkelde vraag: “Ik weet hoe lastig het is om als organisatie, ook vanuit onze eigen ervaring met klanten, dit soort keuzes te maken. Daarom kan ik daar geen antwoord op geven”, vertelt hij.
Wel onderstreept Beek dat, slachtoffer of niet, het altijd belangrijk is om je gegevens online zo veilig mogelijk te maken met maatregelen zoals verschillende wachtwoorden, twee-stapsverificatie en vooral op te letten op vreemde telefoonnummers, mails of andere berichten.
Een lastige zaak met een lastig dilemma
Met de gegevens van miljoenen gebruikers vragen de cybercriminelen ook een groot bedrag ervoor terug: een miljoen euro. Shinyhunters dreigt de data openbaar te maken en probeert hiermee de politie en Odido te chanteren. Stan Duijf, hoofd Operatiën verantwoordelijk voor de aanpak van cybercrime bij de politie vertelt in een interview met ANP over zijn advies: “Ons advies aan slachtoffers van ransomware is: niet betalen als criminelen losgeld eisen. Wanneer zij worden betaald, blijft hun verdienmodel tenslotte levend”, vertelt de expert. Wel vertelt Duijf dat het een serieuze aanval is en dat de impact groot is. Onder leiding van het Landelijk Parket van het Openbaar Ministerie wordt het onderzoek uitgevoerd. Veel weten we nog niet over de voortgang van het onderzoek: “Omdat het gaat om een lopend onderzoek, zijn wij op dit moment terughoudend met het delen van informatie”, vertelt Duijf.
Odido houdt voet bij stuk
Ondanks de dreiging van identiteitfraude en verdere chantage van de hackergroep heeft de telecomprovider zijn beslissing genomen: ze betalen niet. Ingewijden dat Odido al van mening was dat de criminelen niet te vertrouwen waren voordat de eis voor losgeld kwam. Daarnaast zouden de hackers niet vaak hun afspraken nakomen. Het bedrijf verwacht dan nu ook verdere eisen van de groep. De politie en Odido slachtoffers raden aan niet te reageren op berichten van onbekende contactpersonen of bedrijven. Daarnaast geven woordvoerders van de provider aan voorlopig niets meer te vertellen.
