Europese en Amerikaanse opsporingsdiensten jagen op de vermoedelijke leider van de ransomwaregroep LockBit. De man, Dmitry Yuryevich Khoroshev, zou ruim 100 miljoen euro hebben verdiend aan losgeld. De jacht speelt wereldwijd en raakt ook Nederlandse bedrijven en overheden. Dit is relevant door strengere plichten onder NIS2 en de Europese AI-verordening met gevolgen voor overheid en vitale sectoren.
LockBit-leider in beeld
De Britse National Crime Agency (NCA) en de FBI maakten in mei 2024 de identiteit bekend van “LockBitSupp”, het brein achter LockBit. Hij is op het moment van schrijven gesanctioneerd door het Verenigd Koninkrijk, de Verenigde Staten en Australië. Dat betekent reisbeperkingen en een bevriezing van tegoeden, ook wanneer die via cryptovaluta worden beheerd.
In februari 2024 wisten de NCA, FBI en Europol al delen van de LockBit-infrastructuur over te nemen. Daarbij werden sleutels, chatlogs en betalingsgegevens veiliggesteld. Die informatie helpt slachtoffers én maakt het lastiger voor de groep om opnieuw op te staan.
LockBit geldt als een van de meest actieve ransomware-diensten ter wereld. De groep zou duizenden organisaties hebben aangevallen, van ziekenhuizen tot maakbedrijven. Schadeposten lopen op in downtime, herstelkosten en AVG-meldingen.
Aanpak is dienstmodel
LockBit werkt als ransomware-as-a-service (RaaS): het kernteam levert de software, “affiliates” voeren de aanvallen uit en delen mee in het losgeld. Dit model maakt snelle schaalvergroting mogelijk, ook voor minder technische criminelen. Het zorgt voor een gestroomlijnde keten met vaste rollen, tools en winstafspraken.
Aanvallen starten vaak met phishing of misbruik van gestolen wachtwoorden en lekken in software. Daarna bewegen aanvallers zich lateraal binnen het netwerk en schakelen back-ups uit. Pas dan versleutelen zij systemen en begint de afpersing.
LockBit gebruikt dubbel afpersen: versleutelen én dreigen met publicatie van gestolen data. Zo dwingen zij betaling af, ook als een organisatie back-ups heeft. De lekwebsite vergroot de druk en het publieke risico.
Ransomware is gijzelsoftware: criminelen versleutelen bestanden en eisen losgeld om toegang te herstellen.
Nederlandse inzet helpt slachtoffers
Het Team High Tech Crime van de Nederlandse politie werkte mee aan de internationale operatie. Via het project No More Ransom van Europol zijn gratis decryptietools beschikbaar voor verschillende ransomware-varianten. Slachtoffers kunnen zo data herstellen zonder te betalen, als hun variant ondersteund wordt.
Betalen blijft risicovol en kan zelfs strafbaar zijn wanneer gelden bij gesanctioneerde personen belanden. Het Nationaal Cyber Security Centrum (NCSC) raadt betalen af en adviseert direct incidentrespons en forensisch onderzoek. Verzekeraars stellen bovendien strengere eisen aan preventie en melding.
Organisaties in Nederland moeten datalekken binnen 72 uur melden bij de Autoriteit Persoonsgegevens op grond van de AVG. Bij uitval van vitale diensten geldt daarnaast meldplicht richting toezichthouders. Vroege melding kan helpen om decryptors te vinden en verdere schade te beperken.
Crypto-sporen onder druk
Losgeld wordt meestal geëist in bitcoin of andere cryptovaluta. Blockchain-analysebedrijven zoals Chainalysis en TRM Labs helpen opsporing met het volgen van geldstromen. Door sancties en betere analyses wordt het lastiger om grote bedragen ongemerkt te verplaatsen.
Opsporingsinstanties nemen steeds vaker wallets in beslag of bevriezen tegoeden bij dienstverleners. Ook de “travel rule” en strengere klantcontrole in de EU bemoeilijken witwassen. Mixers en privacydiensten liggen onder juridisch vergrootglas.
Voor slachtoffers is het belangrijk betaaladressen en communicatie te bewaren. Deze metadata ondersteunt onderzoek en kan leiden tot herstel van fondsen. Documenteer elke stap en betrek politie en verzekering vroeg.
Regels verhogen de lat
NIS2 verplicht vanaf 2024/2025 meer sectoren in de EU tot stevige cybermaatregelen en snelle incidentmelding. Dat betekent voor Nederlandse bedrijven: inventariseren, segmenteren, back-uppen en testen op herstel. Bestuurders krijgen meer verantwoordelijkheid en toezicht kan boetes opleggen.
De AVG blijft hard raken bij datadiefstal door dubbel afpersen. Dataminimalisatie en versleuteling verkleinen de schade en juridische risico’s. Goede logging en versleutelde back-ups versnellen herstel en bewijsvoering.
De Europese AI-verordening zet kaders voor inzet van algoritmen, bijvoorbeeld in detectie en monitoring. Die systemen moeten transparant, veilig en met menselijk toezicht worden gebruikt. Criminele software valt er niet onder, maar bedrijven die AI inzetten voor beveiliging moeten wel aan de eisen voldoen.
Weerbaarheid boven losgeld
Technische basismaatregelen blijven het meest effectief tegen RaaS-groepen als LockBit. Denk aan multifactor-authenticatie, patchmanagement, netwerksegmentatie en het uitschakelen van oude protocollen. Regelmatige oefening van een herstelplan maakt het verschil in uren, niet in weken.
Security-tools met machine learning, zoals moderne EDR-systemen, kunnen afwijkend gedrag vroeg herkennen. Let wel: geen enkel systeem is foutloos en menselijk toezicht blijft nodig. Combineer detectie met strikte toegangsrechten en least privilege.
Juridisch en operationeel loont het om niet te betalen en snel te melden. Betalen kan sanctierisico’s meebrengen en maakt organisaties aantrekkelijker doelwit. Met melding profiteert u van hulpbronnen van politie, NCSC en No More Ransom, en verkleint u de maatschappelijke schade.
