De hack is inmiddels alweer heel wat jaren geleden, maar nog steeds doet advocaat Jeroen Sprangers, partner bij REIN Advocaten & Adviseurs, regelmatig zijn verhaal. Om andere ondernemers te waarschuwen. Maar ook: om het taboe te doorbreken. “Er heerst een enorme schaamte bij slachtoffers. Terwijl, als er in je bedrijf wordt ingebroken, sein je andere ondernemers toch ook in? Als het hackers zelfs lukt om in het Pentagon te hacken, dan hoef je niet te denken dat het jou niet overkomt”, vertelt Sprangers in de nieuwste editie van de fysieke GROC.
Terug naar die bewuste maandagochtend. Het advocatenkantoor had een op het oog zakelijke email ontvangen, maar niets bleek minder waar. Het bleek om ransomware te gaan. Nadat er door een medewerker op een linkje was gedrukt, werden alle bestanden van Rein in no time versleuteld. Om weer toegang te krijgen, zou het kantoor zo’n 100.000 euro in bitcoins moeten betalen.
Selfie van hackers
“We besloten meteen: dat gaan we niet betalen. Je hoort soms van ondernemers die wel losgeld besluiten te betalen, maar 100.000 euro: dat is geen kattenpis. Bovendien geeft het je geen enkele garantie dat je daarna wel bij je bestanden kan. Wij hadden daarnaast het geluk, dat was echt onze redding, dat we een heel goed back-up systeem hadden. Binnen een paar uur konden we weer aan het werk.”
De belangrijkste les? Sprangers kan het niet vaak genoeg herhalen: awareness. “Je kunt je hele ict-systeem nog zo goed beveiligd hebben, een menselijke fout is zo gemaakt. Bewustwording verkleint die kans. Wees altijd alert op verdachte mailtjes en schakel bij de geringste twijfel de it-afdeling in. En: er wordt binnen Rein pas geld overgemaakt als daar een dubbele bevestiging voor is. Als ik per mail opdracht tot een overboeking geef, kan ik daar later een bevestigend telefoontje over verwachten.”
Daarnaast worden binnen Rein regelmatig penetratietesten uitgevoerd. Hierbij kruipt een ethische hacker in de huid van een cybercrimineel en probeert op deze manier binnen te dringen tot de site of IT-systemen van een organisatie. Het doel van pentesten is het achterhalen van risico’s en zwakheden binnen de geteste omgeving.
De eerste pentest, kort na de hack, liet meteen het belang van awareness zien. De white hackers, die het kantoor had ingeschakeld, meldden zich onaangekondigd bij de receptie van Rein. Ze toonden hun visitekaartjes met de mededeling dat ze van Sprangers de opdracht hadden gekregen de veiligheid van de servers te checken. “Op een gegeven moment kreeg ik via whatsapp een selfie van drie breeduit lachende mannen in onze serverruimte. Het toonde voor ons nog maar weer eens dat het niet alleen om technische beveiliging gaat, maar dat awareness net zo belangrijk is.”
Losgeld uit Oost-Europa
Rein Advocaten & Adviseurs staat zelf ook regelmatig gehackte bedrijven bij. Samen met cyberafdelingen van de politie en banken wist het kantoor recent nog een paar ton losgeld terug te halen van cybercriminelen uit Oost-Europa. “Helaas zijn dat uitzonderingen en kunnen ondernemers in de meeste gevallen fluiten naar hun geld”, zegt Sprangers. Er zit daarom maar een ding op: “Zorg dat het jou niet overkomt.”
Om ondernemers te waarschuwen voor de gevaren van cybercrime organiseert de gemeente Groningen op 22 oktober het event Hack050. Tijdens dit evenement laat de gemeente zichzelf bewust hacken om het belang van online beveiliging te benadrukken.
