Hoe komt ransomware binnen?

Hoe komt ransomware binnen? Phishing en RDP

Begrijpen hoe komt ransomware binnen is cruciaal om ernstige financiële schade en verlies van belangrijke bedrijfsgegevens te voorkomen. Een succesvolle aanval legt de complete bedrijfsvoering plat en resulteert in hoge herstelkosten. Lees verder om de exacte risicos te identificeren en uw netwerk effectief te beveiligen.

Hoe komt ransomware onopgemerkt je netwerk binnen?

Ransomware komt meestal binnen via phishingmails met schadelijke bijlagen, of via verouderde en kwetsbare software. Het kan te maken hebben met verschillende factoren, afhankelijk van hoe je netwerk is ingericht. De belangrijkste routes zijn gestolen inloggegevens en slecht beveiligde externe verbindingen.

80% van de ransomware-aanvallen begint via remote access tools, waarbij gecompromitteerde VPN-verbindingen alleen al goed zijn voor twee derde van de incidenten. Gestolen inloggegevens zijn verantwoordelijk voor 47% van de initiële toegang, direct gevolgd door softwarekwetsbaarheden op 29%. Er is echter één kritieke fout met remote access die tachtig procent van de beheerders over het hoofd ziet - ik leg dit verderop in de sectie over kwetsbaarheden precies uit.

In mijn eerste jaren als systeembeheerder was ik geobsedeerd door complexe firewalls. Ik negeerde de basis. Mijn eerste ransomware-incident kwam niet door een ingenieuze hack, maar doordat een collega hetzelfde wachtwoord voor zijn werkaccount gebruikte als voor een gehackte webshop. Die fout kostte me drie nachten slaap en een complete server rebuild.

Phishing en malvertising: De menselijke factor

Phishing is allang niet meer de slecht vertaalde e-mail van een onbekende prins. Valse e-mails lijken tegenwoordig exact op berichten van je bank, pakketdienst of zelfs je eigen CEO. Laten we eerlijk zijn - in de drukte van de dag klikt iedereen wel eens te snel.

Zodra een medewerker op een kwaadaardige link klikt of een bijlage opent, wordt er op de achtergrond een kwaadaardig script uitgevoerd. Vaak merkt de gebruiker niets totdat het te laat is. Zelfs de slimste werknemers trappen in gerichte spear-phishing.

Kwetsbare software en open RDP-poorten

Remote Desktop Protocol (RDP) is handig om thuis te werken, maar levensgevaarlijk als de beveiliging tekortschiet. Cybercriminelen scannen het hele internet continu op open poorten.

Hier is die kritieke fout met remote access die ik eerder noemde: het direct blootstellen van poort 3389 aan het publieke internet zonder extra authenticatielaag. Zelfs met een sterk wachtwoord is dit een kwestie van tijd voordat brute-force bots binnenkomen. Zodra ze het wachtwoord raden, hebben ze volledige controle.

Daarnaast vormen ongepatchte systemen een enorm risico. Gaten in oude programmas worden binnen enkele uren na ontdekking misbruikt. Update je systemen. Dat is alles. Wie dit negeert, vraagt om problemen.

Directe actie: Wat te doen bij besmetting?

De paniek slaat toe wanneer je bestanden plotseling onleesbaar worden en een vreemde extensie krijgen. De gemiddelde downtime na een ransomware-aanval bedroeg 24 dagen in 2025, met herstelkosten die opliepen tot gemiddeld anderhalf miljoen dollar. Snel handelen beperkt de schade enorm.

Wanneer je om drie uur in de nacht wakker wordt gebeld omdat alle servers onbereikbaar zijn, de back-ups niet reageren, de productie volledig stilligt en de directie om een hersteltijd vraagt terwijl jij nog niet eens weet via welke kwetsbaarheid ze zijn binnengekomen. Haal adem. Trek eerst de netwerkkabels eruit.

Het stappenplan voor directe isolatie is verrassend simpel: 1. Isoleer het apparaat direct door de netwerkkabel eruit te trekken 2. Schakel Wi-Fi en Bluetooth onmiddellijk uit 3. Schakel de computer NIET uit en start NIET opnieuw op

In de praktijk zie ik zelden dat mensen stap 3 goed doen. Je eerste reactie is altijd de fysieke aanknop indrukken in de hoop het proces te stoppen. Doe het niet. Een herstart vernietigt forensisch bewijsmateriaal in het werkgeheugen en activeert bij sommige ransomware-varianten juist extra versleuteling.

Preventieve maatregelen en beveiligingslagen

Om besmetting via open RDP-poorten of phishing te voorkomen, heb je een gelaagde aanpak nodig. Hier vergelijken we de drie meest cruciale beveiligingsmaatregelen voor elk modern netwerk.

MFA (Aanbevolen)

• Blokkeert meer dan 99% van de geautomatiseerde aanvallen op accounts

• Relatief eenvoudig, vereist een app of hardware-token voor elke gebruiker

• Laag tot gemiddeld, maar levert de hoogste directe ROI op

3-2-1 Back-up strategie

• De enige garantie op dataherstel als ransomware onverhoopt toch binnenkomt

• Vereist 3 kopieën, op 2 verschillende media, waarvan 1 volledig offline

• Gemiddeld tot hoog, sterk afhankelijk van het datavolume

Patch Management

• Dicht bekende softwarekwetsbaarheden die anders misbruikt worden

• Vereist strikte wekelijkse processen en testprocedures voor kritieke systemen

• Voornamelijk een investering in structurele tijd en discipline

De ransomware-aanval bij het logistiek bedrijf van Sander

Sander, IT-beheerder bij een middelgroot logistiek bedrijf in Rotterdam, kreeg op een vrijdagochtend paniekerige telefoontjes. Niemand kon meer bij het magazijnsysteem. De schermen toonden louter een losgeldeis. Sander was er heilig van overtuigd dat hun dure nieuwe firewall hen zou beschermen.

Zijn eerste reactie was het abrupt herstarten van de hoofdserver in de hoop het kwaadaardige proces te stoppen. Resultaat was rampzalig: de versleuteling versnelde bij het opstarten en hij verloor cruciale logs in het werkgeheugen. Twee dagen lang probeerden ze back-ups via het besmette netwerk terug te zetten, maar die bestanden raakten direct weer versleuteld.

De doorbraak kwam pas toen een extern forensisch team ontdekte hoe de aanval begon - een ongepatchte RDP-poort op een oude testserver die iedereen vergeten was. Sander leerde op de harde manier dat honderd procent beveiliging een mythe is. Ze isoleerden het netwerk volledig, schakelden over naar offline back-ups en configureerden MFA voor letterlijk elke verbinding.

Na 14 tergende dagen downtime draaide het bedrijf weer deels. De financiële en reputatieschade was aanzienlijk. Tegenwoordig weigert Sander categorisch elke vorm van externe verbinding zonder hardware-token, een strikt beleid dat het aantal succesvolle inlogpogingen door bots volledig stopte.