Ransomware is een familie van malware met een simpel verdienmodel: gegevens gijzelen. Aanvallen richten zich graag op organisaties: hun servers, werkplekken en back-ups, met daarbovenop de dreiging om gestolen gegevens openbaar te maken. Aanvallers kunnen de druk nog verder opvoeren met een DDoS-aanval op de website van het slachtoffer of door zijn klanten te benaderen.
Hoe een aanval verloopt
Het versleutelen is pas de laatste stap. Daarvoor moet de aanvaller binnenkomen, vaak via een ongepatchte kwetsbaarheid, slecht beveiligde toegang op afstand (remote desktop, VPN, NAS) of een account dat via phishing is gestolen. Daarna verkent hij het netwerk, zoekt hij hogere rechten en spoort hij de back-ups op om ze onbruikbaar te maken.
Wat dit betekent voor een WordPress-site
Een WordPress-site kan rechtstreeks getroffen worden als de server waarop hij draait wordt gecompromitteerd. Maar het risico zit ook in alles eromheen: de computer van de beheerder, waarop de FTP- en SSH-gegevens en de toegang tot het klantenpaneel van de hostingprovider zijn opgeslagen; de NAS of netwerkschijf met de back-ups; de mailbox waarmee je elk wachtwoord kunt resetten. Een WooCommerce-webshop heeft er nog een risico bij: gestolen klantgegevens waarmee wordt gedreigd ze te publiceren.
Hoe je je beschermt
- Back-ups buiten bereik: minstens één losgekoppelde of offline kopie, die de aanvaller niet kan versleutelen of wissen. De 3-2-1-backupregel geeft het kader, en ons artikel over back-ups van WordPress past die toe op een website.
- Test het terugzetten: een back-up die je nooit hebt teruggezet, is slechts een aanname.
- Snelle updates van systemen, WordPress, plugins en apparaten die aan internet hangen.
- Tweefactorauthenticatie voor toegang op afstand, e-mail, het hostingaccount en het beheer van de site.
- Segmentatie: een opgedeeld netwerk beperkt de verspreiding van de ene machine naar de andere.
WP Masquerade beschermt niet tegen ransomware en maakt geen back-ups: de functies gaan over de beveiliging van WordPress zelf. Een externe back-upoplossing blijft onmisbaar.
Wat je doet bij een aanval
- Betaal het losgeld niet: niets garandeert dat je je gegevens terugkrijgt, en betalen financiert nieuwe aanvallen.
- Isoleer: haal de getroffen machines van het netwerk en koppel aangesloten back-ups los, zonder de apparaten uit te zetten, zodat sporen bewaard blijven.
- Doe aangifte bij de politie voordat je de getroffen apparaten opnieuw installeert, zodat het bewijs bewaard blijft.
- Meld een datalek: kunnen persoonsgegevens zijn ingezien, gewijzigd of vernietigd, dan verplicht de AVG je dat binnen 72 uur te melden bij de privacytoezichthouder (in Nederland de Autoriteit Persoonsgegevens).
- Schakel hulp in van een gespecialiseerde partij voor onderzoek en herstel.
Voor het herstel van een website beschrijft het stappenplan om een gehackte WordPress-site op te schonen de volgorde van de handelingen.