Mag ik losgeld betalen in Nederland?

Het is in Nederland niet verboden om losgeld te betalen, maar de Politie en verzekeraars raden het sterk af. Je houdt een crimineel systeem in stand en hebt geen garantie op data-teruggave.

Moet ik een ransomware-aanval melden?

Ja. Als er persoonsgegevens zijn gelekt (wat bijna altijd zo is), ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP) onder de AVG-wetgeving.

RaaS: waarom het MKB doelwit nummer 1 is

In Nederland denken veel MKB-ondernemers nog steeds: "Ik ben maar een bakker/accountant/metaalbewerker. Ik heb niks te halen."

Dat is een dodelijke misvatting. In de wereld van Ransomware-as-a-Service (RaaS) ben jij geen "kleine vis". Je bent de perfecte klant.

Ransomware-groepen richten zich in 2026 niet meer alleen op grote multinationals (die hebben te goede beveiliging). Ze richten zich op het MKB: bedrijven met een omzet van 5 tot 50 miljoen euro, die wél geld hebben, maar geen IT-security team.

Het RaaS Verdienmodel: Een Franchise in Criminiliteit

Vroeger moest een hacker alles zelf doen: het virus schrijven, inbreken, de betaling regelen. Nu werkt het als een McDonald's franchise.

De Operators: Topcriminelen (zoals de LockBit-groep) ontwikkelen de software en de betalingsinfrastructuur.
De Affiliates: Freelance criminelen die de software "huren". Hun enige taak is inbreken bij jou.
De Winstverdeling: Als jij €100.000 betaalt, krijgt de Operator 20% en de Affiliate 80%.

Dit betekent dat elke tiener met een beetje computerkennis en kwade bedoelingen nu een geavanceerde cyberaanval kan uitvoeren. Ze kopen gewoon inloggegevens op het Dark Web voor €500 en lanceren de aanval.

Waarom specifiek het MKB?

Verouderde Software: Veel MKB-bedrijven draaien nog op oude Windows Servers, gebruiken VPN's die al jaren niet geüpdatet zijn of hebben RDP (Remote Desktop) openstaan naar het internet.
Geen Backups (die werken): Vaak is er wel een backup, maar die hangt aan hetzelfde netwerk. Als de ransomware toeslaat, wordt de backup óók versleuteld.
Hoge Betaalbereidheid: Een multinational kan soms een week stilstaan. Een MKB-bedrijf gaat failliet als de productie 3 dagen stilligt. De paniek zorgt voor snelle betalingen.

Hoe Bomen ze Binnen?

Het beeld van de hacker die "code typt" in een groene terminal is fout. Ze gebruiken simpele trucs.

1. Phishing

Een medewerker op de administratie opent een "openstaande factuur.pdf.exe". Eén klik is genoeg.

2. Gehackte Inloggegevens

Veel werknemers gebruiken hetzelfde wachtwoord voor LinkedIn als voor hun werk-account. Als LinkedIn lekt, proberen bots die wachtwoorden automatisch uit op jouw VPN of Office 365 omgeving.

3. Kwetsbaarheden (Vulnerabilities)

Software zoals Citrix, Fortinet of Exchange Server heeft regelmatig lekken. Als je IT-beheerder de patches niet binnen 48 uur na uitkomst installeert, sta je open.

Wie Doet Wat: Van Access-Broker tot Onderhandelaar

Achter elk incident zit geen "hacker", maar een keten van specialisten; elke fase laat sporen na in jullie eigen logbestanden:

De access broker verkoopt gestolen toegang: in de VPN-log een inlog om 03:12 uit een land waar niemand op reis is.
De affiliate doorzoekt het netwerk: nieuwe beheerdersaccounts, 's nachts actieve PowerShell en een laptop die alle bestandsservers overloopt.
De onderhandelaar verschijnt pas ná de klap, met anonieme mailbox en zakelijke toon. Wie wekelijks de logs doorloopt, ziet hieraan in welke fase een indringer zit.

De Aanval: Wat Gebeurt er Echt?

Een ransomware-aanval is geen gebeurtenis van één minuut. Het is een proces dat weken duurt.

Week 1-2 (Verkenning): De hacker zit al binnen. Hij kijkt rustig rond. Wie is de baas? Waar staan de financiële bestanden? Waar zijn de backups?
Week 3 (Data Diefstal): Voordat ze versleutelen, kopiëren ze je data naar hun eigen servers. Dit is hun drukmiddel ("Double Extortion").
Het Weekend (De Klap): Vrijdagavond om 23:00 uur, als iedereen naar huis is, starten ze de encryptie.
Maandagochtend: Je komt binnen. Iedereen roept dat de bestanden niet openen. Er staat een README.txt op elk bureaublad.

Betalen of Niet Betalen?

De Politie zegt: Niet doen.

Je financiert terrorisme en zware criminaliteit.
Er is geen garantie. 10% van de betalers krijgt niets terug.
Je wordt gemarkeerd als "goede betaler" en binnen 6 maanden opnieuw aangevallen.

De Praktijk: Lastig. Als je faillissement dreigt omdat je administratie weg is, voelen veel ondernemers zich gedwongen. Schakel ALTIJD professionele onderhandelaars in. Betaal nooit blind het eerste bedrag.

De Eerste 24 Uur: Volgorde Is Alles

Maandagochtend, de boel is stil. Nu telt volgorde, geen tempo:

Isoleer, schakel niet uit. Netwerkkabel eruit, Wi-Fi uit, maar laat de machines draaien: het werkgeheugen bevat sporen voor forensisch onderzoek.
Vastleggen vóór opruimen. Fotografeer de losbrief op elk getroffen scherm; ontwerp en contactmailbox verraaden wie de dader is (zie onze ransom note database).
Bel eerst de verzekeraar, dan de politie. Die schakelt binnen enkele uren een forensisch team en advocaat in en wijst de weg bij verplichte meldingen.
Praat nooit zelf met de dader. Elk rechtstreeks bericht vertelt hem hoeveel jullie willen betalen.

Afpersing Zonder Versleuteling

Sommige groepen slaan het versleutelen helemaal over en gebruiken uitsluitend de gestolen data als drukmiddel: verwacht een openbare leksite met aftelklok, mailings naar klanten en leveranciers, en 's avonds telefoontjes aan directeuren. Omdat niets versleuteld is, merkt je eigen ploeg niets; de eerste melding komt meestal van een klant.

De AVG Nachtmerrie (Datalek)

Het gaat niet alleen om je bestanden terugkrijgen. Als de criminelen persoonsgegevens (klantenlijsten, personeelsdossiers) hebben gestolen, heb je een Datalek.

Je bent verplicht dit te melden bij de Autoriteit Persoonsgegevens (AP). Doe je dit niet, en lekt de data later uit? Dan riskeer je boetes die kunnen oplopen tot 4% van je jaaromzet. Bovendien moet je vaak al je klanten informeren ("Sorry, uw gegevens liggen op straat"). De reputatieschade is vaak groter dan het losgeld.

Waarom Backups en MFA Tóch Duur Kunnen Uitpakken

De juiste maatregelen helpen; de schade zit vaak in de details:

De backupconsole hangt aan het domein: met het beheeraccount daar wist de aanvaller het hele archief vóór de versleuteling start.
Het herstel is nooit doorgewerkt: bij de eerste echte restore blijkt één server terughalen dagen te kosten.
MFA kent blinde hoeken: IMAP en POP3 vallen vaak buiten beleid, gestolen sessiecookies omzeilen de tweede factor en tien weggeklikte pushmeldingen openen de deur.

De Oplossing in 3 Stappen

Het hoeft geen miljoenen te kosten om je te wapenen tegen 99% van de aanvallen.

1. MFA (Multi-Factor Authenticatie)

Zet dit AAN voor alles. Voor e-mail, voor VPN, voor inloggen op de server. Zonder MFA ben je een schietschijf.

2. Offline Backups (De 3-2-1 Regel)

Zorg dat één backup "Air-Gapped" is (losgekoppeld van het netwerk). Een USB-schijf die in de kluis ligt, of een Cloud-backup met "Immutability" (kan niet gewist worden).

3. Endpoint Protection (EDR)

De oude virusscanner werkt niet meer. Gebruik EDR (Endpoint Detection & Response). Dit is software die gedrag herkent ("Hé, waarom probeert Word.exe opeens 1000 bestanden te versleutelen?") en de aanval stopt.

Conclusie

Ransomware is geen "IT-probleem". Het is een bedrijfsrisico dat de continuïteit bedreigt. Praat met je IT-leverancier. Vraag: "Zijn onze backups ransomware-proof?" Als ze even moeten nadenken over het antwoord, heb je een probleem.

Gratis Security Scan voor MKB-bedrijven

Overzicht

Belangrijke beslissingen, risico's en implementatieacties voor ransomware as a service smb nl.

Ransomware-as-a-Service (RaaS): Waarom het Nederlandse MKB Doelwit #1 is