Het Ministerie van Justitie en Veiligheid onderzoekt of het mogelijk is om te verbieden dat bedrijven losgeld betalen na een ransomware-aanval, melden bronnen aan de NOS. Dat verbod zou indirect gelden, door het aan verzekeraars te verbieden om losgeld te vergoeden.
Als een bedrijf wordt platgelegd door een ransomware-aanval, kan een verzekeraar er nu voor kiezen om het losgeld te vergoeden zodat de ondernemer snel weer aan de slag kan. Dat is in veel gevallen goedkoper dan wanneer een bedrijf een paar weken stil ligt en de verzekeraar die kosten moet vergoeden.
De wetenschapsorganisatie NWO kon begin dit jaar de salarissen van medewerkers niet meer normaal betalen, omdat de salarisadministratie verdwenen was. De daders hebben gestolen vertrouwelijke documenten gepubliceerd om NWO te chanteren, maar de overheid betaalde niet. Aan de Oostkust van de Verenigde Staten dreigde een tekort aan benzine en diesel, omdat een van de grootste netwerken van pijpleidingen stil kwam te liggen door ransomware bij Colonial Petroleum (CP).
Eerder zei minister Grapperhaus liever niet te zien dat verzekeraars losgeld betalen. "We onderzoeken hoe we losgeldbetalingen kunnen verminderen", bevestigt een woordvoerder van het ministerie. Er is nog geen besluit genomen. Het betalen van losgeld ligt uit principe gevoelig, omdat misdaad daarmee wordt beloond. De bendes die ransomware-aanvallen uitvoeren, investeren de opbrengst in hun criminele activiteiten, redeneert het Openbaar Ministerie.
Verzekeraars geen voorstander van verbod
Het Verbond van Verzekeraars zegt het politieke sentiment te begrijpen, maar waarschuwt om niet over een nacht ijs te gaan. Een zware cyberaanval kan een kettingreactie op gang brengen waardoor een bedrijf zelf failliet kan gaan. De praktijk bewijst dat betalen voor de slachtoffers vaak de snelste manier is om de ICT-diensten weer werkend te krijgen. Verzekeraar Hiscox en een Deloitte-consultant zeggen beide tegen de NOS dat zo’n 60 procent van de bedrijven betaalt.
Daar komt bij dat veel slachtoffers geen cybersecurity-verzekering hebben. Het zou dan niet effectief zijn om alleen de verzekerde bedrijven te treffen met een verbod op losgeld betalen.
