BOSTON (AP) – Als uw bedrijf slachtoffer wordt van ransomware en u wilt eenvoudig advies over het betalen van de criminelen, verwacht dan niet veel hulp van de Amerikaanse overheid. Het antwoord is terecht: Het hangt ervan af.

"Het is de positie van de Amerikaanse overheid dat we het betalen van losgeld sterk ontmoedigen," zei Eric Goldstein, een hoge cyberbeveiligingsfunctionaris van het Department of Homeland Security, vorige week tijdens een hoorzitting in het Congres.

Maar betalen brengt geen boetes met zich mee en weigeren zou bijna zelfmoord zijn voor veel bedrijven, vooral voor kleine en middelgrote bedrijven. Te veel mensen zijn onvoorbereid. De gevolgen kunnen ook ernstig zijn voor het land zelf. Recente spraakmakende afpersingsaanvallen leidden tot aanval op benzinestations aan de oostkust en bedreigde vleesvoorraden.

Hoewel de regering-Biden het bestrijden van ransomwarecriminaliteit tot nationale veiligheidsprioriteit heeft gemaakt, worstelen overheidsfunctionarissen met hoe ze moeten reageren op het losgeldprobleem. In een eerste stap zou bipartijwetgeving in ontwikkeling onmiddellijke federale rapportage van ransomware-aanvallen verplichten om de respons te ondersteunen, de auteurs te identificeren en zelfs losgelden terug te vorderen, zoals de FBI deed met het grootste deel van de 4,4 miljoen dollar die Colonial Pipeline onlangs heeft betaald.

Zonder verdere actie binnenkort zeggen experts echter dat losgeld zal blijven stijgen, wat betere criminele inlichtingenverzameling en middelen financiert die de wereldwijde misdaadgolf alleen maar verergeren.

Energieminister Jennifer Granholm zei deze maand dat ze voorstander is van het verbod op betalingen. "Maar ik weet niet of het Congres of de president" voorstander is, zei ze.

En zoals mevrouw Goldstein de wetgevers eraan herinnerde, garandeert betalen niet dat je je gegevens terugkrijgt of dat gevoelige gestolen bestanden niet te koop worden op darknet-criminele forums. Zelfs als de ransomware-criminelen hun woord houden, financier jij hun volgende ronde aanvallen. En je kunt weer geraakt worden.

In april was de toenmalige hoogste nationale veiligheidsfunctionaris van het ministerie van Justitie, John Demers, lauuw tegenover het verbieden van betalingen, en zei dat dit ons "in een meer vijandige houding ten opzichte van de slachtoffers zou kunnen brengen, wat niet is waar we willen zijn."

Misschien zijn degenen die ransomware-criminelen het beste kennen over een betalingsverbod — cyberbeveiligingsdreigingshulpverleners.

Lior Div, CEO van het in Boston gevestigde Cybereason, beschouwt hen als terroristen uit het digitale tijdperk. "Het is terrorisme in een andere vorm, een heel moderne."

Een Britse wet uit 2015 verbiedt Britse verzekeringsmaatschappijen om bedrijven te vergoeden voor de betaling van terrorismelosgelden, een model waarvan sommigen vinden dat het universeel toegepast zou moeten worden op ransomwarebetalingen.

"Uiteindelijk stopten de terroristen met het ontvoeren van mensen omdat ze beseften dat ze niet betaald zouden worden," zei Adrian Nish, hoofd dreigingsintelligentie bij BAE Systems.

De Amerikaanse wet verbiedt materiële steun aan terroristen, maar het ministerie van Justitie heeft in 2015 de dreiging van strafrechtelijke vervolging voor burgers die terroristische losgelden betalen afgeschaft.

"Er is een reden waarom dat een beleid is in terrorismezaken: je geeft te veel macht aan de tegenstander," zei Brandon Valeriano, een wetenschapper van de Marine Corps University en senior adviseur van de Cyberspace Solarium Commission, een bipartisane instantie opgericht door het Congres.

Sommige slachtoffers van ransomware hebben principiële standpunten ingenomen tegen betalingen, ongeacht de menselijke kosten. Eén daarvan is het University of Vermont Health Network, waar de rekening voor herstel en verloren diensten na een aanval in oktober meer dan 63 miljoen dollar bedroeg.

Ook Ierland weigerde te onderhandelen toen de nationale gezondheidszorg vorige maand werd getroffen.

Vijf weken later blijft gezondheidszorginformatietechnologie in het land met 5 miljoen inwoners zwaar gehandicapt. Kankerbehandelingen zijn slechts gedeeltelijk hersteld, de e-mailservice is onbetrouwbaar, digitale patiëntendossiers zijn grotendeels ontoegankelijk. Mensen zitten vol op de spoedeisende hulp voor laboratorium- en diagnostische tests omdat hun huisartsen die niet kunnen aansturen. Op donderdag was 42 procent van de 4.000 computerservers van het systeem nog steeds niet ontsleuteld.

De criminelen gaven de software-decryptiesleutel een week na de aanval over—na een ongebruikelijk aanbod van de Russische ambassade om "te helpen met het onderzoek"—maar het herstel is een pijnlijke klus geweest.

"Een decryptiesleutel is geen toverstok of schakelaar die plotseling de schade kan terugdraaien," zei Brian Honan, een vooraanstaande Ierse cybersecurityconsultant. Elke teruggevonden machine moet getest worden om te garanderen dat deze infectievrij is.

Uit gegevens blijkt dat de meeste slachtoffers van ransomware betalen. De verzekeraar Hiscox zegt dat iets meer dan 58 procent van haar getroffen klanten betaalt, terwijl de toonaangevende cyberverzekeringsmakelaar Marsh McLennan het percentage voor zijn getroffen klanten in de VS en Canada op ongeveer 60 procent stelde.

Maar betalen garandeert niets dat in de buurt komt van volledige herstel. Gemiddeld kregen losgeldbetalers slechts 65 procent van de versleutelde data terug, waardoor meer dan een derde ontoegankelijk was, terwijl 29 procent aangaf slechts de helft van de data terug te krijgen, vond het cybersecuritybedrijf Sophos in een enquête onder 5.400 IT-beslissers uit 30 landen.

In een enquête onder bijna 1.300 beveiligingsprofessionals ontdekte Cybereason dat 4 op de 5 bedrijven die ervoor kozen losgeld te betalen, een tweede ransomware-aanval ondergingen.

Daargelaten betalen vermogende bedrijven met verzekeringsbescherming meestal in.

Colonial Pipeline betaalde bijna direct vorige maand om brandstof terug te laten stromen naar de oostkust van de VS—voordat werd vastgesteld of de back-ups robuust genoeg waren om betaling te vermijden. Later betaalde vleesverwerkende gigant JBS 11 miljoen dollar om te voorkomen dat de Amerikaanse vleeslevering mogelijk zou worden onderbroken, hoewel de data-back-ups ook voldoende bleken om de fabrieken weer operationeel te krijgen voordat er ernstige schade ontstond.