Herstellen na ransomware aanval in 7 stappen

Een medewerker kan één overtuigende e-mail, een hergebruikt wachtwoord of een onbeveiligde externe verbinding genoeg laten zijn voor grote uitval. Bij herstellen na ransomware aanval telt ieder uur, maar haast zonder plan maakt de schade vaak groter. De eerste prioriteit is daarom niet het loskrijgen van bestanden, maar controle terugkrijgen over uw omgeving.

Ransomware versleutelt bestanden, maar kan ook wachtwoorden stelen, back-ups verwijderen en zich door werkplekken, servers en cloudmappen verspreiden. De melding op het scherm is dus zelden het hele verhaal. Met een rustige aanpak, betrouwbare back-ups en goede technische ondersteuning kunt u de bedrijfsvoering gecontroleerd herstellen.

1. Isoleer getroffen systemen direct

Koppel getroffen computers, servers en netwerkopslag direct los van het netwerk. Trek zo nodig de netwerkkabel eruit en schakel wifi uit. Laat systemen bij voorkeur aanstaan, tenzij een specialist anders adviseert: actief geheugen, logbestanden en sporen van de aanval kunnen later nodig zijn voor onderzoek.

Isoleer niet alleen het apparaat waarop de melding zichtbaar is. Controleer ook gedeelde schijven, beheertools, VPN-verbindingen, externe desktopverbindingen en gekoppelde cloudopslag. Juist via accounts met brede rechten kan ransomware zich snel verspreiden.

Waarschuw medewerkers kort en duidelijk. Vraag hen verdachte e-mails niet te verwijderen, niet op losgeldmeldingen te klikken en geen eigen herstelacties uit te voeren. Een goedbedoelde herstart of het aansluiten van een externe schijf kan bewijs vernietigen of een schone back-up besmetten.

2. Breng de impact in kaart zonder aannames

Na de eerste isolatie wilt u weten wat er werkelijk geraakt is. Welke systemen zijn versleuteld? Zijn zakelijke e-mail, website, webshop, financiële administratie of klantgegevens beschikbaar? Welke accounts hebben recent ingelogd, en zijn er onbekende beheerdersaccounts aangemaakt?

Leg vast wanneer het incident is ontdekt, welke meldingen zichtbaar zijn en welke systemen vermoedelijk zijn getroffen. Maak foto’s van het scherm en bewaar relevante e-mails. Dit helpt bij technisch onderzoek, een eventuele melding aan verzekeraar of politie en de beoordeling van privacyrisico’s.

Ga er niet automatisch van uit dat alleen bestanden zijn versleuteld. Steeds vaker combineren aanvallers versleuteling met datadiefstal. Als persoonsgegevens mogelijk zijn ingezien of buitgemaakt, moet u beoordelen of een melding bij de Autoriteit Persoonsgegevens nodig is. Bij een meldplichtig datalek geldt doorgaans een termijn van 72 uur. Wacht daarom niet tot alle technische details bekend zijn, maar start de beoordeling direct.

3. Betaal niet voordat u alle opties kent

Een losgeldbetaling lijkt soms de snelste weg terug, zeker wanneer een webshop stilligt of planning en administratie niet beschikbaar zijn. Toch biedt betaling geen garantie. U weet niet of u een werkende sleutel ontvangt, of alle bestanden goed worden ontsleuteld en of gestolen gegevens daarna daadwerkelijk worden verwijderd.

Bovendien kunnen aanvallers achterdeurtjes of gestolen inloggegevens hebben achtergelaten. Dan is een ontsleutelde server nog steeds geen veilige server. Bespreek de situatie met een gespecialiseerde IT-partner, uw cyberverzekeraar en waar passend de politie. De juiste keuze verschilt per incident, maar herstel vanuit schone back-ups is meestal de betrouwbaarste route.

4. Kies een herstelpunt dat aantoonbaar schoon is

Een back-up is pas waardevol als die niet is versleuteld, verwijderd of al besmet was voordat de aanval werd ontdekt. Controleer daarom meerdere herstelpunten. Kijk naar de laatste normale activiteit in bestanden en logs, en houd rekening met een aanvaller die mogelijk dagen of weken eerder toegang kreeg.

Herstel niet blindelings alles tegelijk. Begin met een afgebakende, kritieke dienst, bijvoorbeeld identiteitsbeheer, e-mail of een financiële applicatie. Test vervolgens of bestanden openen, processen werken en verdachte activiteiten uitblijven. Pas daarna volgt de volgende stap.

Voor websites en hostingomgevingen geldt hetzelfde principe. Een back-up van bestanden alleen is niet altijd voldoende. Ook databases, configuratiebestanden, plug-ins en toegangsgegevens moeten aansluiten op het gekozen herstelmoment. Bij een webshop wilt u bovendien controleren welke bestellingen, betalingen en klantmutaties na dat moment handmatig moeten worden verwerkt.

5. Bouw eerst een schone basis op

Bij ernstig getroffen systemen is opnieuw installeren veiliger dan een beschadigde omgeving proberen schoon te maken. Plaats een nieuw besturingssysteem, installeer alle beveiligingsupdates en zet alleen noodzakelijke software terug. Herstel daarna gegevens vanuit het gecontroleerde back-upmoment.

Verander wachtwoorden van beheerders, e-mailaccounts, VPN, hostingpanelen, cloudomgevingen en andere kritieke diensten. Doe dit vanaf een schoon apparaat. Schakel multifactorauthenticatie in waar dat mogelijk is, vooral voor beheerdersaccounts en externe toegang.

Controleer ook technische toegang die vaak wordt vergeten: API-sleutels, serviceaccounts, geplande taken, doorstuurregels in mailboxen en externe koppelingen. Een aanvaller die via een oude sleutel of verborgen e-mailregel terugkomt, kan een tweede incident veroorzaken voordat uw team weer op adem is.

6. Test herstel voordat iedereen weer aan het werk gaat

Een systeem dat opstart, is nog niet per definitie hersteld. Test de functies waarop uw organisatie dagelijks vertrouwt. Kunnen medewerkers veilig inloggen? Werkt zakelijke e-mail? Zijn gedeelde bestanden bereikbaar? Verwerken applicaties gegevens correct? Kunnen klanten bestellen, formulieren versturen of inloggen op uw website?

Maak hierbij onderscheid tussen technische beschikbaarheid en bedrijfscontinuïteit. Een server kan technisch bereikbaar zijn terwijl een cruciale koppeling met boekhouding, voorraad of betalingsverkeer nog ontbreekt. Laat proceseigenaren daarom mee testen. Zij zien sneller of er informatie mist of handmatige correcties nodig zijn.

Communiceer intussen eerlijk met medewerkers en klanten die hinder ondervinden. U hoeft geen technische details te delen die het onderzoek schaden, maar een korte, duidelijke status voorkomt onrust. Benoem wat tijdelijk niet beschikbaar is, welke alternatieve werkwijze geldt en wanneer u een volgende update geeft.

7. Maak van herstel een blijvende verbetering

Na een ransomware-incident is de verleiding groot om zo snel mogelijk terug te keren naar de normale werkdag. Juist dan verdient de oorzaak aandacht. Onderzoek hoe de aanvaller binnenkwam: via phishing, een zwak wachtwoord, verouderde software, een onbeveiligde VPN of te ruime gebruikersrechten. Zonder die analyse herhaalt hetzelfde risico zich.

Een praktische basis bestaat uit vier onderdelen:

• dagelijkse, gecontroleerde back-ups met een kopie die niet direct vanuit de productieomgeving te wijzigen is;
• tijdige updates voor werkplekken, servers, websites, plug-ins en netwerkapparatuur;
• beperkte toegangsrechten en multifactorauthenticatie voor gevoelige accounts;
• monitoring en duidelijke meldroutes, zodat afwijkend gedrag snel wordt gezien en opgepakt.

De precieze inrichting hangt af van uw organisatie. Een zelfstandige met een zakelijke mailbox en website heeft andere maatregelen nodig dan een mkb-bedrijf met meerdere locaties, een fileserver en externe medewerkers. Maar voor beide geldt: test een herstel regelmatig. Een back-up die nooit is teruggezet, is een aanname en geen zekerheid.

Herstellen na ransomware aanval begint vóór het incident

De beste voorbereiding is niet alleen een technische voorziening, maar een duidelijke afspraak over wie handelt als er iets misgaat. Wie mag systemen isoleren? Waar staan de herstelgegevens? Wie belt u buiten kantooruren? En welke diensten moeten als eerste terug zijn?

Met beheerde back-ups, monitoring en een partner die uw omgeving kent, hoeft u die vragen niet pas te beantwoorden wanneer het scherm op zwart gaat. DeltaServ helpt organisaties om hosting, e-mail, servers en werkplekken zo in te richten dat herstel niet afhankelijk is van improvisatie. Rust in een incident ontstaat door voorbereide keuzes – en door iemand die direct verantwoordelijkheid neemt.