Ransomware in het MKB: hoe een aanval eruitziet van binnenuit

Dit is het verhaal van een MKB-ondernemer — we noemen hem Mark — die in november 2024 slachtoffer werd van een ransomware-aanval. Het bedrijf: een installatiebedrijf met 23 medewerkers in de regio Utrecht. De schade: €94.000 en 31 dagen stilstand.

Dag 0: de phishing-mail

Het begint op een dinsdag. Een medewerker van de administratie ontvangt een mail van 'PostNL' over een pakket dat niet bezorgd kon worden. De mail ziet er legitiem uit — logo, opmaak, taalgebruik. Ze klikt op de link, vult haar gegevens in en denkt er niet meer aan.

Wat ze niet weet: de link installeerde een stuk malware dat zich stil houdt. Gedurende drie weken verzamelt de malware inloggegevens, kaart het netwerk in kaart en wacht op het juiste moment.

Dag 21: de aanval

Op een vrijdagavond om 23:47 uur start de encryptie. Alle bestanden op de fileserver, de boekhoudserver en de back-upschijf worden versleuteld. Zaterdag ochtend om 07:15 uur ziet de eerste medewerker het: alle bestanden zijn onleesbaar. Op het scherm: een losgeldbericht van €45.000 in Bitcoin.

De kosten

• ▸Losgeld betaald: €45.000 (decryptiesleutel werkte gedeeltelijk)
• ▸IT-forensisch onderzoek: €12.000
• ▸Systeemherstel en nieuwe hardware: €18.000
• ▸Verloren omzet (31 dagen stilstand): €19.000
• ▸Totaal: €94.000

Wat had dit kunnen voorkomen?

Mark had een antivirusprogramma draaien. Hij had een back-up — maar die stond op een schijf die ook versleuteld werd. Hij had geen monitoring, geen detectie van afwijkend gedrag en geen gesegmenteerd netwerk.

Met een moderne EDR-oplossing zoals Wazuh was de malware bij installatie gedetecteerd. Met een offline of cloud-back-up was herstel mogelijk geweest zonder losgeld. Met netwerksegmentatie had de aanval zich niet kunnen verspreiden naar alle systemen.