Het is maandagmorgen. Je start je werkdag vanuit huis en opent je laptop. In plaats van dat je Slack-kanaal automatisch opent, verschijnt er een pop-up. Een Telegram-chat. ‘We hebben je bedrijfsgegevens gehackt. Maak €35.000 over naar crypto-wallet 0x355d35Cc341558e. Dan geven we je gegevens vrij.’
Dit soort ransomware-aanvallen gebeurden in Nederland in 2024 in totaal 121 keer, volgens het Cybersecuritybeeld Nederland 2025. ‘We leven niet langer in een wereld van cyberdefensie, maar van cyberweerbaarheid’, zegt Martin Kraemer, CISO Advisor van KnowBe4. ‘Alles draait om de vraag: wat doe je concreet als het misgaat?’
Aantal ransomware-aanvallen groeit al tien jaar
‘Het aantal succesvolle ransomware-aanvallen groeit al tien jaar onafgebroken’, zegt Kraemer. Recent werd weer maar een keer duidelijk wat de repercussies kunnen zijn van een hack. Engelse autoproducent Jaguar Land Rover meldde in haar kwartaalcijfers dat het meer dan een maand de productielijn moest stilleggen na een cyberaanval.
Naast het kwartaalverlies van 485 miljoen pond (tegenover 398 miljoen pond winst in hetzelfde kwartaal in 2024), meldt het bedrijf dat het maar liefst 196 miljoen pond in ‘cybersecurity-kosten’ heeft moeten maken. ‘Wanneer het op zó’n schaal de krantenkoppen haalt, weet je dat het incident response niet optimaal was’, stelt Kraemer.
Het moment van paniek
De aanval op Jaguar Land Rover werd dan ook de duurste in de geschiedenis van het Verenigd Koninkrijk, met een totale berekende schade van 1.9 miljard pond voor de Britse economie. Het bedrijf heeft niet bekend gemaakt om wat voor hack het precies ging, maar naar alle waarschijnlijkheid ging het om een ransomware-aanval.
Dat blijft dan ook de meest voorkomende én kostbare aanval voor bedrijven, ziet Kraemer. ‘Het begint meestal met een e-mailbijlage. Een medewerker wordt verleid om het te openen, er verschijnt een venster dat je niet verwacht, je krijgt een verzoek om admin-privileges te verlenen. Zodra je dat doet, begint de encryptie van je systeem.’
Gehackt? Klap meteen je laptop dicht
De signalen zijn vaak subtiel. ‘Je systeem gedraagt zich abnormaal. Misschien vertraagt het, misschien verschijnen er onverwachte vensters. Op dat moment — en dit is cruciaal — klap je je laptop onmiddellijk dicht. Probeer niets op te slaan, niets af te sluiten. Isoleer het systeem direct. Trek desnoods de stekker eruit.’
Als je geluk hebt, heb je het ingeperkt. ‘Maar meestal hebben medewerkers het niet op tijd gedetecteerd, of durven ze het niet te melden uit een soort schaamte. Daarom moeten we blijven hameren: meld verdacht gedrag áltijd. Je wordt niet gestraft.’
De eerste 24 uur maken het verschil
Even terug naar het voorbeeld aan het begin van dit artikel: een ondernemer ontdekt op maandagochtend dat zijn businessaccounts zijn gehackt. Wat adviseert Kraemer?
‘Bel direct je IT-beheerder én schakel de politie in’, adviseert Kraemer stellig. ‘Ja, de ransomware-notitie zal waarschijnlijk zeggen dat je de politie niet moet betrekken. Negeer dat. Forensisch specialisten en handhavers helpen het probleem in te perken. Ze kunnen onderzoeken of het oude ransomware is die ze kunnen kraken, of onderhandelen namens jou.’
Het betrekken van experts heeft volgens hem alleen maar voordelen. ‘Iedere forensisch specialist, iedere IT-professional, iedereen bij wetshandhaving zegt hetzelfde: zodra je experts inschakelt, kom je er beter vanaf. Misschien herstel je sneller, misschien betaal je minder. Er is geen nadeel.’
Wettelijke meldplicht: de klok tikt
Voor Europese bedrijven volgen direct wettelijke verplichtingen. ‘Onder GDPR heb je waarschijnlijk een meldplicht binnen 72 uur. Val je onder NIS2? Dan zijn de rapportageverplichtingen nog strenger. De Cyber Resilience Act, de AI Act, de Online Services Regulations — ze stellen allemaal heldere eisen aan het melden van incidenten.’
Ook kleine ondernemers ontspringen de dans niet. ‘Er is geen bedrijfsgrootte die je uitsluit van je verantwoordelijkheden als data controller onder GDPR. Als klantgegevens zijn gelekt, moet je hen informeren. Punt.’
Transparantie redt je reputatie
Maar hoe communiceer je zonder verdere schade aan te richten? ‘Transparantie en keiharde eerlijkheid zijn essentieel’, zegt Kraemer. ‘Je mag geen ruimte laten voor speculatie. Te vaak zie ik persberichten die te vaag blijven.’
Hij schetst een voorbeeld: ‘Vanochtend om 7:55 uur waarschuwde ons IT-systeem voor een cyberincident dat we momenteel onderzoeken. Geen paniek, maar duidelijkheid. Als het een datalek is, noem het dan zo. Wees specifiek: Het betreft persoonlijke gegevens van 5.000 klanten, inclusief namen en e-mailadressen, maar geen betaalgegevens. Vertel wat je doet, wanneer mensen meer informatie krijgen en zorg dat iedere getroffen klant persoonlijk wordt geïnformeerd.’
Herstel zonder nieuwe infectie
Vervolgens draait alles om een zo snel mogelijk herstel, zegt Kraemer. ‘Je hebt hopelijk een recente backup. Moderne managed service providers maken regelmatig snapshots, soms zelfs automatisch bij verdachte activiteit. Maar voordat je herstelt — en dit is het allerbelangrijkste — zorg dat de aanvallers uit je systeem zijn.’
‘Het gebeurt te vaak dat bedrijven hun systemen herstellen terwijl de hackers nog binnen zijn. Ze encrypten gewoon opnieuw. Of de backup herstelt hun backdoor mee. Dan begin je weer van voren af aan.’
Forensisch onderzoek: niet zelf doen
‘Ik zou het nooit zelf doen’, zegt Kraemer, ondanks zijn eigen technische achtergrond. ‘Ik weet hoe ik backup-bestanden moet openen, maar niet of ik daarmee ook sporen vernietig. Je hebt experts nodig die door álle logbestanden gaan — Windows-logs, applicatie-logs, database-logs. Zij traceren de aanval en vertellen je hoe ze binnenkwamen.’
Voor ondernemers is zijn advies helder. ‘Vraag je IT-team nu al: wat hebben we klaar staan voor de dag dat we gehackt worden? Echte weerbaarheid vereist proactieve forensische voorbereiding. Als experts eerst alle systemen moeten catalogiseren en toegang moeten regelen, is kostbare tijd verloren.’
Oefenen, oefenen, oefenen
‘Het Nationaal Cyber Security Centrum van het Ministerie van Justitie en Veiligheid heeft uitstekende richtlijnen’, wijst Kraemer. ‘Daar vind je factsheets over forensic readiness, incident response, alles wat je nodig hebt. Als ondernemer of iemand die verantwoordelijk is voor de bedrijfscontinuïteit: lees je in.’
Maar documentatie alleen is niet genoeg. ‘De beste manier om erachter te komen of jouw bedrijf écht in staat is om zo snel mogelijk te herstellen is door te oefenen. Je moet verschillende scenario’s van ransomware en phishing simuleren en doorlopen.
‘Als je op vrijdagavond — wanneer het meestal gebeurt — je PR-team moet bereiken, wil je weten dat je ze kunt bereiken. Dat je met legal kunt praten, met alle relevante functies. Het gaat uiteindelijk om hoe je handelt wanneer het erop aankomt. Want een incident response-plan dat alleen op papier staat, heeft geen waarde.’
Dit artikel wordt u aangeboden door
KnowBe4
KnowBe4 helpt werknemers dagelijks slimmere beveiligingsbeslissingen te nemen en versterkt wereldwijd de beveiligingscultuur van meer dan 70.000 organisaties. Met een...
Meer info
