Na ransomware of een gehackt account wil iedereen snel weer werken. De volgorde telt: wie te vroeg terugzet, krijgt de aanvaller er gratis bij. Het NCSC hanteert dezelfde fasen: analyseren, beheersen, herstellen, evalueren.
Meld het bij ons en stop de verspreiding
Bel ons zodra je versleutelde bestanden, een losgeldmelding of vreemde inlogs ziet. Haal besmette computers van het netwerk (kabel eruit, wifi uit), maar zet ze niet uit: het geheugen bevat bewijs.
Bewaar bewijs, wis niets
Laat logbestanden, losgeldmelding en besmette systemen staan tot wij ze hebben veiliggesteld. Houd een logboek bij (wie deed wat, wanneer) voor aangifte, verzekeraar en datalekmelding.
Maak eerst de toegangen weer veilig
Voordat er iets terugkomt, moeten de toegangen schoon zijn: wachtwoorden vervangen, MFA controleren, vreemde doorstuurregels uit mailboxen halen, firewall en netwerk nalopen. Anders staat de aanvaller zo weer binnen.
Zet systemen terug in de volgorde van je noodplan
Eerst wat het bedrijf draaiend houdt (telefoon, kassa, orderadministratie), daarna de rest; systemen bouwen we schoon op, niet door een besmette schijf te 'repareren'.
Zet data terug van vóór het incident
Uit de back-up, van een moment waarop de bestanden nog in orde waren; dat kan dagen vóór de ontdekking zijn. Wat daarna is gemaakt, werk je bij uit mail of papier.
Meld wat je moet melden
Doe altijd aangifte bij de politie. Zijn persoonsgegevens versleuteld, ingezien of gestolen, dan is het vaak een datalek dat je binnen 72 uur meldt (zie 'Wat is een datalek en hoe meld ik het?'). Informeer ook je verzekeraar.
Evalueer en werk het plan bij
Hoe kwam het binnen, wat werkte in het noodplan en wat niet, hoe lang duurde het herstel? Pas noodplan, back-up en afspraken aan.
Betaal nooit zelf losgeld en neem geen contact op met de afpersers; het NCSC adviseert niet te betalen: geen garantie, en slachtoffers zijn vaak opnieuw doelwit. Overleg met ons en je verzekeraar.