Security (b)log: Misdaad mag niet lonen

Er zijn veel knappe koppen, naar verluidt vooral oostwaarts, die de informatiebeveiliging – of misschien moet ik wel zeggen: cybersecurity – een forse sprong voorwaarts zouden kunnen laten maken. Helaas zijn deze lieden echter op de verkeerde plaats geboren, waardoor zij niet in de gelegenheid zijn om gemakkelijk een goedbetaalde baan in dit mooie vak te vinden. In veel landen is het plaatselijke regime vooralsnog de enige reguliere werkgever waar onze vakbroeders en -zusters nog een enigszins goed heenkomen vinden. Hun takenpakket omvat dan echter vaak het tegenovergestelde van hetgeen die mensen eigenlijk zouden moeten doen. Ze moeten, ter meerdere eer en glorie van hun vaderland, bedrijven en overheden in andere landen hacken.

Maar wat moet je met je vaardigheden als je ook daar niet kunt of wilt werken, bijvoorbeeld omdat je méér geld wilt verdienen? Dan biedt de criminaliteit uitkomst. Zoekt u een goedbetaalde baan, schappelijke werktijden en groot aanzien in de community? Kom dan bij ons werken! Nu is niet iedere cybercrimineel een georganiseerde crimineel, er zijn ook zat zzp’ers. De grootste talenten zijn inmiddels puissant rijk.

GandCrab is een recent voorbeeld van Ransomware-as-a-Service (RaaS). Net als bij al die andere as-a-service dingen (Software-aaS, Infrastructure-aaS, Platform-aaS enzovoorts – Wikipedia heeft een lange lijst, waar zelfs Farming-aaS en Metal-aaS in staan) is het idee dat je een dienst inkoopt. In het geval van GandCrab krijgt de klant toegang tot ransomware, die hij onder zijn potentiële slachtoffers mag verspreiden. Als een slachtoffer het losgeld betaalt, dan ontvangt de RaaS-leverancier provisie. Een paar weken geleden verscheen het bericht dat de GandCrab-beheerders met pensioen gaan. In een “officieel bericht” op een hackerforum laten ze weten dat ze hun schaapjes op het droge hebben: hun malware heeft meer dan twee miljard dollar omzet gegenereerd, wat de beheerders tweeëneenhalf miljoen per week heeft opgeleverd, zo beweren ze. En natuurlijk bruto = netto, want ik denk niet dat ze inkomstenbelasting betalen.

Getriggerd door dit bericht ging ik eens opzoeken hoeveel geld er omgaat in cybercrime. Nou, dat is even schrikken, want ik heb even geen goede voorstelling bij dat getal: hoeveel is een biljoen dollar ook alweer? Nou, dat is dus een miljoen keer een miljoen, een één met twaalf nullen. En daarvan genereert cybercrime er anderhalf per jaar, terwijl verwacht wordt dat dat over twee jaar is opgelopen tot zes biljoen dollar. Het klinkt misschien naïef, maar is er überhaupt zoveel geld op aarde? Meteen gevolgd door de vraag: hoeveel goede dingen zou je daar wel niet mee kunnen doen? Honger de wereld uit, vrede op aarde, dat soort dingen?

Ik erger me al aan scooterrijders op fietspaden waar ze niet mogen rijden (langwerpig blauw bord met opschrift ‘fietspad’). Kun je nagaan hoe boos ik word als ik moet concluderen dat misdaad loont. Die GandCrab-misdadigers gaan op hun ongetwijfeld nog jonge luie reet rusten (excusez le mot) terwijl de slachtoffers met de handen in het haar achterblijven in de rokende puinhopen van hun nutteloos geworden harde schijven. GandCrab heeft vooral slachtoffers gemaakt onder particulieren; bedrijven wapenen zich tegenwoordig beter tegen ransomware.

De rentenierende cybercrimineel heeft, net als zijn nog werkende collega, weinig te vrezen. Hij is moeilijk op te sporen, als al iemand de moeite zou nemen om dat te proberen. Doordat malware als GandCrab niet actief wordt als zij een cyrillisch toetsenbord detecteert, hebben de autoriteiten in de landen waar deze criminelen doorgaans wonen niet zoveel behoefte om op onderzoek uit te gaan. Hun eigen onderdanen hebben immers nergens last van.

Laten we proberen om het ze zo moeilijk mogelijk te maken. Ziet een mailtje eruit als phishing? Dan is het dat waarschijnlijk ook. Ziet het er niet direct uit als phishing maar is er toch iets vreemds met de afzender of de boodschap, wees dan ook op je hoede. Zorg voor een actuele virusscanner op je computers en neem waarschuwingen serieus. Maak regelmatig (liefst wekelijks) een back-up van je bestanden op een externe schijf die je daarna weer afkoppelt. Nee, dat is niet zo moeilijk als je het eenmaal onder de knie hebt. En mocht je dan toch besmet raken en geen goede back-up hebben, betaal dan asjeblieft geen losgeld. Want daarmee zou je het verdienmodel van de crimineel in stand houden, zonder garantie dat je je bestanden terugkrijgt. Op nomoreransom.org, een initiatief van onder andere de Nederlandse politie, vind je in steeds meer gevallen hulp bij het gratis terugkrijgen van je bestanden. Geef criminelen geen kans!