Ransomware response draaiboek: het eerste uur, 24 uur en 72 uur

Een getimed ransomware-draaiboek: wat je moet doen in het eerste uur, de eerste 24 uur en de eerste 72 uur, van isolatie en bewijs tot rapportage, de ransomwarebeslissing en een schoon herstel.

Dit draaiboek is voor IT-managers, CISOs, MSP's en de managementteams die beslissingen moeten nemen tijdens een ransomware-aanval. Het zet het algemene incident response-draaiboek om in een getimede volgorde voor het eerste uur, de eerste 24 uur en de eerste 72 uur, en behandelt vervolgens herstel en versterking. Gebruik het naast je incident response-plan en het incident reporting-draaiboek, dat de gedetailleerde regelgevingsdeadlines bevat.

Voordat je begint

Ransomware werkt door druk op je beslissingen uit te oefenen. Bereid deze items voor terwijl je rustig bent:

• Afgedrukte contactlijsten: je DFIR-retainer, cyberverzekering, juridisch adviseur, nationale CSIRT, politie en de belangrijkste leveranciers.
• Een out-of-band-kanaal, zoals een aparte berichtenwerkruimte of een telefonische verbinding, dat niet afhankelijk is van je e-mail of identity provider.
• Offline of immutable backups, met een restore-test gedocumenteerd in de afgelopen zes maanden.
• Een vooraf goedgekeurde beslissingsmatrix die aangeeft wie de productie mag afsluiten, wie contact mag opnemen met de aanvaller, en wie beslist over betaling.

Venster	Prioritaire resultaten
Eerste uur	Incident verklaard, verspreiding gestopt, backups en identiteit beschermd, bewijs veiliggesteld, kernteam op de brug
Eerste 24 uur	Omvang bekend, exfiltratie beoordeeld, back-ups gevalideerd, NIS2 vroegtijdige waarschuwing en eventuele DORA initiële melding ingediend, politie ingelicht, holding statement gereed
Eerste 72 uur	Oorzaak geïdentificeerd, uitroeiingsplan afgestemd, herstel in gang, NIS2-melding en AVG-melding ingediend, ransombesluit gedocumenteerd

Fase 1: Meld en isoleer (eerste uur)

Snelheid is op dit moment het belangrijkste, maar houd de acties onder controle. Het advies van de CCB is om geïnfecteerde computers van het internet en het netwerk los te koppelen zonder ze uit te schakelen^[1]. Het uitschakelen vernietigt het geheugengeheugen bewijs en soms de versleutelingssleutels.

• Verklaar het incident, wijs de incidentmanager aan en noteer het tijdstip.
• Isoleer getroffen hosts via EDR-netwerkbeperking, of door ze los te koppelen of de switchpoort uit te schakelen.
• Koppel backup-repositories los en bescherm de backup-console-credentials. Controleer of backup-jobs of snapshots worden verwijderd.
• Schakel externe toegangspaden uit (VPN, RDP-gateways, remote management tools) totdat je weet welke de aanvaller heeft gebruikt.
• Bescherm identiteit: schors verdachte bevoorrechte accounts en let op nieuwe admin accounts en wijzigingen in Group Policy.
• Verplaats alle communicatie naar het out-of-band kanaal.

Fase 2: Bewijs veiligstellen (eerste uren)

Bewijs vertelt je hoe de aanvaller naar binnen is gekomen en wat ze hebben meegenomen. Het ondersteunt ook een strafrechtelijke klacht en een schadeclaim. Leg het vast voordat je iets herbouwt.

• Leg geheugen en schijfafbeeldingen vast van een steekproef van versleutelde hosts, minstens één domeincontroller en het waarschijnlijke toegangspunt.
• Exporteer firewall, VPN, EDR, identity provider en cloud audit logs voordat retentie ze verwijdert.
• Bewaar een kopie van het ransomwarebericht, de contactgegevens van de aanvaller, eventuele leak-site-URL en de cryptocurrency-adressen.
• Hash elk item en noteer de bewijsketen.

Fase 3: Scope bepalen en backups testen (eerste 24 uur)

Veel ransomware-groepen stelen gegevens voordat ze deze versleutelen. Je hebt dus twee problemen op te lossen: beschikbaarheid en vertrouwelijkheid.

• Breng in kaart welke systemen, locaties en cloud-tenants versleuteld zijn en welke onaangetast.
• Zoek naar tekenen van exfiltratie: grote uitgaande overdrachten, archiveringstools, cloud-synctools en de claims van de aanvaller op een leksite.
• Identificeer de initiële toegangsvector. Veelvoorkomende zijn blootgestelde VPN of RDP, gestolen inloggegevens en niet-gepatchte edge-apparaten.
• Test je backups: zijn ze intact, wanneer waren ze voor het laatst goed en dateren ze van vóór de eerste activiteit van de aanvaller?
• Controleer No More Ransom (nomoreransom.org) op een gratis decryptor voor de geïdentificeerde variant. Het initiatief is opgericht door Europol en de Nederlandse politie met private partners, en de Belgische Federale Politie heeft er sleutels via vrijgegeven^[5].

Fase 4: Melden en rapporteren (24 tot 72 uur)

Ransomware bij een NIS2-entiteit is vaak een significant incident, dus behandel de vroegtijdige waarschuwing van 24 uur als standaard, niet als uitzondering. Financiële entiteiten controleren eerst de DORA-classificatie, omdat de initiële melding binnen 4 uur na classificatie van een incident als major verschuldigd is. Als persoonsgegevens zijn versleuteld of gestolen, beoordeel je de AVG-melding binnen 72 uur. De Nederlandse politie stelt expliciet vast dat ransomware die persoonsgegevens aantast waarschijnlijk een datalek is^[3]. Het meldingsdraaiboek bevat de beslissingsstroom en de lijst met ontvangers.

• Dien een klacht in bij de politie. In België dien je deze in bij de politie (de CCB verwijst bedrijven naar hun lokale politiebureau)^[1]. De Federale Eenheid Computercriminaliteit van de Federale Politie behandelt ernstige cybercriminaliteit en werkt samen met de CCB aan ransomware^[7]. In Nederland kan een bedrijf online aangifte doen met eHerkenning of een afspraak maken op 0900-8844^[3]. In Luxemburg dien je een klacht in bij de Police grand-ducale.
• Meld je cyberverzekeraar binnen de polisdeadline en voordat je een leverancier inschakelt die zij zouden moeten goedkeuren.
• Informeer getroffen klanten en partners met een feitelijk bericht dat door een juridisch adviseur is goedgekeurd.

Fase 5: Besluit over het losgeld

De CCB en de Nederlandse politie raden af om te betalen. Betaling garandeert niet dat je je gegevens terugkrijgt of dat gestolen gegevens worden verwijderd, en het financiert verdere aanvallen^[2][3]. Als het management nog steeds overweegt te betalen, maak het dan een gedocumenteerde beslissing op bestuursniveau, genomen met:

• Sanctions screening: het EU-cybersanctieregime (Verordening (EU) 2019/796 van de Raad) bevriest de activa van genoteerde personen en verbiedt het ter beschikking stellen van middelen aan hen^[6]. Andere EU-sanctieregimes en Amerikaanse regels die van toepassing zijn wanneer je blootstelling aan de VS hebt, kunnen ook gelden. Juridisch advies moet controleren of de groep aan een genoteerde persoon kan worden gekoppeld.
• Wetshandhaving: informeer de politie als je betaling overweegt. De Nederlandse politie stelt dat betalingsinformatie onderzoeken helpt^[3].
• Verzekering en boekhouding: controleer de polisvoorwaarden en registreer elke betaling transparant.
• Realiteitscheck: zelfs als een decryptor werkt, is hij traag en onvolmaakt. Herstellen vanuit schone back-ups is vaak sneller.

Betaling verwijdert geen meldingsplicht onder NIS2, DORA of de AVG.

Fase 6: Uitroeien en herstellen (72 uur en verder)

Herstel in een schone omgeving. Systemen terug op een netwerk brengen dat de aanvaller nog steeds controleert, zorgt er alleen voor dat ze opnieuw versleuteld worden.

• Bouw eerst de identiteitsfundament op: schone of herbouwde domeincontrollers, het KRBTGT-account twee keer opnieuw ingesteld, alle bevoorrechte accounts en serviceaccountwachtwoorden geroteerd.
• Herstel systemen in volgorde van bedrijfsimpact vanuit gevalideerde back-ups, en scan elk systeem voordat je het opnieuw verbindt.
• Sluit de initiële toegangsvector: patch het, dwing MFA af op alle externe toegang en verwijder blootgestelde RDP.
• Houd verhoogde bewaking minstens 30 dagen in stand en let op bekende indicatoren van compromittering.

Fase 7: Versterken en beoordelen

Houd binnen twee weken na herstel een blameless review en zet de bevindingen om in gefinancierde acties. Typische resultaten zijn onveranderbare back-ups met aparte inloggegevens, phishing-resistente MFA voor beheerders, gelaagde administratie, EDR-dekking op elke server en sneller patchen van edge devices. De bijbehorende sjabloon bevat een getimede checklist voor de eerste 72 uur, een beslissingenlogboek, een contactenlijst en een back-upbeoordeling die je in een oefening of in een live incident kunt gebruiken. In Secrato worden de hardening-acties gevolgd als risicobehandelingen, zodat hun voortgang zichtbaar is voor het management.

Hoe dit aansluit op andere frameworks

Ransomware-gereedheid steunt op controls die de meeste frameworks delen: back-ups (ISO/IEC 27001 control 8.13), incidentbeheer (5.24 tot 5.28), toegangscontrole en MFA, en kwetsbaarheidsbeheer. NIS2 artikel 21, lid 2 noemt back-upbeheer, incidentafhandeling en MFA expliciet. CyFun- en NIS2-beoordelingen belonen daarom dezelfde voorbereiding.

Veelgestelde vragen

Is het betalen van losgeld illegaal in België, Nederland of Luxemburg?

Op het moment van schrijven is er geen algemeen wettelijk verbod op betaling in deze landen. Een betaling kan echter sanctiewetgeving schenden als deze een vermeld persoon of entiteit bereikt, en de autoriteiten raden betaling af. Raadpleeg juridisch advies voordat je een beslissing neemt.

Moeten we contact opnemen met de aanvallers om tijd te winnen?

Alleen via een aangewezen, ervaren onderhandelaar, en alleen nadat juridisch advies is ingewonnen en de politie is ingelicht. Ongepland contact kan informatie onthullen en de druk op je vergroten.

Onze back-ups waren ook versleuteld. Wat nu?

Controleer op offline kopieën, cloud-snapshots, replica's op andere locaties en SaaS-exports. Controleer No More Ransom op een decryptor. Vraag je DFIR-provider of het malware-type bekende zwaktes heeft.

Moeten we rapporteren als er geen gegevens zijn gestolen?

Mogelijk. Onder NIS2 kan ernstige operationele verstoring alleen al een incident significant maken. De AVG dekt ook inbreuken op beschikbaarheid, dus een verlies van toegang tot persoonsgegevens kan een meldingsplichtig incident zijn.