Ransomware-aanval? Zo verloopt een effectieve incident response

Versleutelde bestanden, onbereikbare systemen of een losgeldbericht op het scherm: zodra ransomware wordt ontdekt, staat een organisatie onder grote druk. De eerste neiging is vaak om alles direct uit te zetten en zo snel mogelijk back-ups terug te plaatsen. Juist dan is een gecontroleerde incident response nodig. Overhaaste acties kunnen bewijsmateriaal vernietigen, het herstel vertragen of een aanvaller waarschuwen die nog toegang heeft. Welke stappen zet je vanaf de eerste verdachte activiteiten tot veilig herstel, en welke beslissingen horen daarbij?

Ransomware ontdekt: wat nu?

Zodra je ransomware ontdekt, treedt het incident response-plan in werking. Wijs een incidentmanager aan die het overzicht bewaakt en de verschillende teams aanstuurt. Bepaal ook direct of je een specialistisch incident response-team moet inschakelen. Dat ligt bijvoorbeeld voor de hand als de omvang van de aanval nog onduidelijk is, kritieke systemen zijn geraakt of de benodigde expertise intern ontbreekt. Leg ook vast wanneer de aanval is ontdekt, wat er zichtbaar is en welke acties al zijn uitgevoerd. Dat incidentlogboek wordt later onmisbaar voor onderzoek, besluitvorming en verantwoording. 

Houd de communicatie in eerste instantie beperkt tot de mensen die direct nodig zijn. Soms vraagt dat om een apart kanaal buiten de getroffen omgeving. Zolang onderzoek geen uitsluitsel geeft, moet je er rekening mee houden dat de aanvaller kan meelezen.

Tegelijk wil je zo snel mogelijk weten hoe groot de impact is. Welke processen liggen stil? Zijn er aanwijzingen dat gegevens zijn gestolen? En waren de back-ups bereikbaar voor de threat actor? Ransomware draait steeds vaker om dubbele afpersing: aanvallers versleutelen bestanden en dreigen ook om buitgemaakte data te publiceren. De losgeldmelding vertelt dus maar een deel van het verhaal.

Fase 1: detectie en beoordeling

De eerste triage begint bij meldingen uit endpointbeveiliging, identity-systemen, e-mail, netwerkmonitoring en van gebruikers. Daarmee breng je in kaart welke accounts, apparaten, servers en locaties zijn geraakt. Let ook op tekenen van laterale beweging, verhoogde rechten en data-exfiltratie. Die eerste bevindingen bepalen hoe ernstig het incident is en welke expertise je nodig hebt.

Systemen die duidelijk zijn getroffen, wil je zo snel mogelijk isoleren. Dat betekent niet dat je ze meteen moet wissen of zonder overleg moet uitschakelen. Werkgeheugen, actieve netwerkverbindingen en andere vluchtige gegevens kunnen belangrijk zijn voor forensisch onderzoek. Door logs en systeembeelden zorgvuldig te verzamelen, blijft zichtbaar wat de aanvaller heeft gedaan en kan het response-team de aanval reconstrueren.

Fase 2: containment

Tijdens containment draait alles om het stoppen van verdere verspreiding, zonder de hele operatie onnodig stil te leggen. Gecompromitteerde accounts worden geblokkeerd, verdachte verbindingen verbroken en getroffen netwerkdelen gesegmenteerd. Ook de back-upomgeving heeft direct extra bescherming nodig.

Besteed daarnaast aandacht aan externe toegang, cloudaccounts en beheertools. Aanvallers gebruiken zulke toegangsroutes regelmatig om opnieuw binnen te komen. Welke systemen online kunnen blijven, bepaal je samen met security, IT, operatie en management. Daarbij weeg je de kans op extra schade af tegen veiligheid en bedrijfscontinuïteit. Iedere belangrijke keuze komt met reden, eigenaar en tijdstip in het incidentlogboek.

Fase 3: eradication & recovery

Zodra de omvang van het incident voldoende duidelijk is, kun je malware, achterdeuren en andere vormen van persistentie verwijderen. Daar hoort ook het afsluiten van de oorspronkelijke toegang bij. Denk aan het verhelpen van een misbruikte kwetsbaarheid, het intrekken van ongewenste rechten en het vervangen van mogelijk buitgemaakte wachtwoorden, tokens, certificaten en sleutels.

Controleer vervolgens alle getroffen systemen op dezelfde indicators of compromise. Alleen bestanden ontsleutelen of malware verwijderen is onvoldoende als de aanvaller nog via een andere route naar binnen kan.

Het herstel verloopt bij voorkeur gefaseerd vanuit schone en geteste back-ups. Begin bij de bedrijfsprocessen die het belangrijkst zijn voor de organisatie. Herstelde systemen kunnen eerst in een gecontroleerde omgeving worden geplaatst, zodat je configuraties, data en verbindingen kunt valideren voordat ze weer volledig beschikbaar komen. Daarna blijft verscherpte monitoring nodig. Een achtergebleven toegangsmogelijkheid kan anders leiden tot een tweede incident.

Communicatie tijdens een cybercrisis

Een ransomware-response vraagt naast technische expertise om heldere communicatie. Medewerkers willen weten wat zij op dat moment wel en niet kunnen doen. Klanten en leveranciers hebben behoefte aan tijdige, feitelijke informatie wanneer hun dienstverlening of gegevens geraakt kunnen zijn. Stem externe boodschappen daarom af met juridische en communicatie-experts en voorkom speculatie zolang het onderzoek loopt.

Ook mogelijke meldplichten moeten vroeg worden beoordeeld. Een meldplichtig datalek moet binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens worden gemeld. Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt sinds 15 augustus 2026 bij een significant incident een gefaseerde meldplicht. Die begint met een vroegtijdige waarschuwing binnen 24 uur, gevolgd door een uitgebreidere melding binnen 72 uur. Je kunt dus niet wachten tot alle technische details bekend zijn voordat je onderzoekt welke verplichtingen gelden.

Wanneer schakel je een incident response-team in?

Je hoeft een ransomware-aanval niet volledig met het eigen IT-team af te handelen. Specialistische hulp wordt belangrijk zodra het incident de eigen capaciteit overstijgt, kritieke processen raakt of de omvang onduidelijk blijft. Een ervaren Computer Security Incident Response Team (CSIRT) combineert coördinatie, threat intelligence en digitaal forensisch onderzoek. Zo’n team helpt om de aanval af te bakenen, bewijs veilig te stellen en een verantwoorde herstelstrategie te kiezen.

Laat een eis voor losgeld niet de hele aanpak bepalen. Het NCSC adviseert om geen losgeld te betalen. Betaling geeft geen garantie op bruikbare sleutels, volledige verwijdering van gestolen gegevens of het uitblijven van een nieuwe aanval. De eerste prioriteiten liggen bij veilig herstel, wettelijke verplichtingen en het definitief buitensluiten van de aanvaller.

Lessons learned: verbeter je incident response-plan

Na het herstel volgt een post-incident review. Daarin kijk je terug op de manier waarop de aanvaller is binnengekomen, waarom verdachte activiteiten wel of niet zijn gezien en waar het incident response-proces vertraging opliep. De uitkomsten vertaal je naar concrete verbeteringen in bijvoorbeeld detectieregels, toegangsrechten, segmentatie, back-ups en playbooks.

Oefen daarna opnieuw met het response-team. Zo wordt duidelijk of de aanpassingen in de praktijk werken en vormt het herstel meteen het vertrekpunt voor een betere voorbereiding.

Een ransomware-aanval vraagt snelheid, overzicht en specialistische kennis. Door detectie, containment, eradication and recovery in de juiste volgorde uit te voeren, vergroot je de kans op veilig herstel en beperk je de schade. Heb je nu te maken met ransomware of wil je jouw voorbereiding testen? Orange Cyberdefense ondersteunt organisaties voor, tijdens en na een cyberincident. Neem gerust contact met ons op om hierover te sparren.