NOS Nieuws•
Na bijna twee weken onduidelijkheid is voor de buitenwereld bekend wat er op het spel staat voor telecombedrijf Odido, sinds de gegevens van miljoenen klanten werden buitgemaakt door criminelen. Gisteren eiste hackersgroep ShinyHunters via een verklaring op het darkweb een bedrag “met zeven cijfers” van Odido, oftewel: iets tussen 1 en 10 miljoen euro.
Betaalt het bedrijf niet, dan worden de gegevens vrijgegeven op het internet, waarna andere cybercriminelen die kunnen gebruiken om klanten op te lichten of op een andere manier schade aan te richten.
Tijd kopen
Wat gaat Odido nu doen? Ransomware-onderhandelaar Joey Fennis kan niets zeggen over deze specifieke zaak, maar staat geregeld bedrijven bij die getroffen zijn door een hack als deze.
“Wat er doorgaans gebeurt, is dat je aan de onderhandelingstafel gaat zitten. Daarmee koop je een beetje tijd en kan je kijken: welke data hebben ze eigenlijk? Je probeert een beetje controle te houden als bedrijf.”
Dat contact wordt gevoerd via chat-apps, e-mail of een andere manier van digitale communicatie. In de verklaring van ShinyHunters wordt Odido opgeroepen “terug naar de chat te komen.” Fennis leidt daaruit af dat Odido en de criminelen in de luwte al in gesprek waren, maar dat het bedrijf uit die onderhandeling is gestapt. Óf naar de smaak van de hackers niet snel genoeg over de brug komt.
Zo’n verklaring is een drukmiddel, zegt Fennis. “Het kan nu ook gaan gebeuren dat ze klanten van Odido gaan opbellen, of medewerkers. Alles om te zorgen dat Odido gaat betalen.”
Kosten-baten
Of het bedrijf dat doet, hangt volgens hem af van de ‘kosten-batenanalyse’ die het loslaat op de gestolen data. “De hackers zeggen in dit geval 21 miljoen regels aan data te hebben van in totaal 8 miljoen klanten. Daaronder zitten volgens hen ook wachtwoorden, waarmee gebruikers kunnen inloggen.” In theorie waardevol materiaal.
“Maar we zien ook vaak dat aanvallers een beetje aandikken wat ze hebben, om zo de prijs op te drijven.” Volgens Odido hebben de hackers geen wachtwoorden in handen, maar alleen ‘verificatiewoorden’ waarmee klanten hun identiteit kunnen bevestigen bij contact met de klantenservice. Wie gelijk heeft, is voor de buitenwereld niet bekend.
Voorproefje
In het algemeen geven de criminelen hun slachtoffers een ‘voorproefje’ van de data die ze in handen hebben, vertelt cybercrime-expert Tom Sturme, die ook regelmatig bedrijven bijstaat die afgeperst worden na een hack. “De criminelen leveren dan een lijst met bestanden die ze in bezit hebben, en op verzoek leveren ze daarna een ‘sample’ met gestolen data, één procent van het totaal bijvoorbeeld.”
Wat deze zaak opvallend maakt, zegt Sturme, is dat het hier niet gaat om typische ‘ransomware’: hackers die de gegevens van grote bedrijven op slot gooien en geld eisen om die weer vrij te geven. In dit geval gaat het om een groep die inloggegevens van medewerkers ontfutselde en daarmee op systemen van clouddiensten wist in te loggen die door Odido gebruikt werden, waarna de data gestolen werden.
Technisch gezien is dat relatief eenvoudig, aldus Sturme, maar de groep boekt er al jaren succes mee. Eerder werden zo data gestolen bij onder meer Louis Vuitton, Jaguar en Pornhub.
Veel bedrijven gaan overstag
Gaat Odido uiteindelijk betalen? Veel bedrijven gaan uiteindelijk overstag, zegt zowel Sturme als Fennis. Volgens laatstgenoemde betaalde ruim een kwart van de bij soortgelijke hacks getroffen bedrijven in Nederland het afgelopen jaar geld aan de afpersers.
Daarbij is het voor de getroffen bedrijven ook relevant hoe ‘betrouwbaar’ de hackers zijn, ironisch genoeg: doen ze ook wat ze zeggen als het losgeld is overgemaakt? In dat opzicht is ShinyHunters een groep met een goede reputatie, aldus Fennis: “Ze leveren eigenlijk altijd wat ze beloven als er eenmaal betaald is. Ze gaan later dus niet alsnog data doorverkopen, en leveren vaak ook wel bewijs dat de gegevens zijn verwijderd na betaling.”
In veel van de gevallen die Sturme als onderhandelaar tegenkomt gaat het zo: “99 van de 100 keer worden data niet vrijgegeven als er is betaald.”
