“Eigenlijk is elk bedrijf een potentieel slachtoffer van cybercriminelen” Elk bedrijf heeft een brandverzekering, maar toch is het risico dat je bedrijf afbrandt kleiner dan dat het slachtoffer wordt van een cyberaanval. Zeker nu bedrijven sinds de coronacrisis veel van hun activiteit digitaliseren, zien cybercriminelen steeds meer kansen om toe te slaan. Benoît Tellier en Bart Vanbiervliet - samen draaien ze al bijna veertig jaar mee in de wereld van de bedrijfsverzekeringen - bieden inzicht in de complexiteit van cybercriminaliteit.
Wat is een cyberaanval precies? Bart Vanbiervliet: “Een cyberaanval kan verschillende vormen aannemen. Malware is de basisversie van cybercriminaliteit. Daarbij dringt een virus een IT-systeem binnen om het te beschadigen. Ransomware, dat misschien wel het meest gekend is, is ook een virus, maar wel een dat het informaticasysteem blokkeert en de gegevens versleutelt. Daardoor kan je de data niet meer opvragen, en kunnen de systemen niet meer met elkaar communiceren. Voor de sleutel om het systeem en de gegevens weer werkbaar te maken, kunnen de hackers dan losgeld vragen. Daarnaast kan je een website of netwerk ook blokkeren zonder een bedrijf echt binnen te dringen, bijvoorbeeld door er abnormaal veel aanvragen op af te sturen. Vooral overheidswebsites worden dikwijls het slachtoffer van een zogeheten DDOS. Ten slotte kan een cybercrimineel ook via phishing proberen iemands inloggegevens te ontvreemden.”
Benoît Tellier: “Ook de aanvallers zelf zijn divers in hun soort. We hebben het niet langer over de nerd met z’n kap op, maar over criminele organisaties met netwerken van wapen- of drugshandelaars. Piraten gaan op zoek naar gaten in het systeem om het van daaruit te bestuderen voor ze toeslaan. Zo leggen ze bedrijven lam, stelen ze persoonsgegevens en destabiliseren ze overheden.” Is het dan een goed idee om bij zo’n aanval gewoon het losgeld te betalen?
drijven het losgeld nog zouden betalen.” Tellier: “Zo was er een bedrijf dat elke dag een miljoen euro aan omzet verloor. Het losgeld bedroeg 3 miljoen euro, en toen ze na 48 uur het probleem nog steeds niet gevonden hadden, hebben ze het losgeld betaald. Als je toch moet betalen, zou ik aanraden om dat zo lang mogelijk uit te stellen, en je zeker te laten bijstaan door cyberspecialisten zoals onderhandelaars. In de VS is het trouwens illegaal om losgeld te betalen, omdat het de criminaliteit zou voeden. Waarschijnlijk worden dezelfde debatten binnenkort in Europa gevoerd.”
Vanbiervliet: “Eigenlijk moet een bedrijf op zo’n moment een kosten-batenanalyse maLosgeld of niet, welke andere ken. Wat kost ons het meest: de gevolgen kan een bedrijf van omzet die we verliezen omdat een cyberaanval ondervinons bedrijf stilligt, of de betaden? ling van het losgeld? Natuurlijk is het geen garantie dat je de Tellier: “Geen diensten meer sleutel dan in handen krijgt, maar voor zo’n criminele organisatie zit “Een cyberaanval is zoals een daar er wel degelijk een brand, en daarbij wil je ook dat businessmodel achter. de sproeiers zo snel mogelijk Immers, als de kans te groot is dat je de sleuaangaan. We noemen onze tel niet zou krijgen, is IT-experten niet voor niets de de kans te klein dat be-
‘cyberbrandweer’.”
kunnen verlenen en dus geen omzet meer kunnen draaien. Versleutelde gegevens en beschadigde systemen. Schending van de GDPR-wetgeving. Dat vertaalt zich niet alleen in herstellingskosten, maar misschien zelfs in rechtszaken van klanten van wie de persoonsgegevens gestolen werden.” Vanbiervliet: “Specialisten in cybersecurity rekenen al snel honderden euro’s per uur, zeker wanneer ze ‘s nachts of in het weekend ter hulp moeten schieten. En toch is het nodig om hen zo snel mogelijk te contacteren, omdat interne IT-diensten vaak niet de nodige ervaring hebben om het virus te identificeren, en de nodige stappen te ondernemen om het virus ook onschadelijk te maken.” Zijn er nog andere kosten aan zo’n cyberaanval verbonden? Vanbiervliet: “Zeker. Denk maar aan de monitoring van de gestolen persoonsgegevens, de advocaten die slachtoffers en autoriteiten moeten inlichten, de communicatiespecialisten die de reputatieschade moeten beperken.” Lopen dan vooral bedrijven met veel persoonlijke gegevens of veel vermogen het risico om slachtoffer te worden van een cyberaanval? Tellier: “Zowel een kleine elektrozaak als een grote containerrederij kan slachtoffer worden, en dan beginnen de problemen. Een bedrijf dat niet operationeel is, krijgt misschien moei-
Enkele interessante cijfers
lijkheden om hun werknemers te blijven betalen. Niet alleen is dat schadelijk voor hun reputatie, maar ook voor hun gemoedsrust. Want wie zegt dat zo’n aanval een bedrijf niet nog eens kan overkomen?” Hoe kan een bedrijf voorkomen dat hen zoiets vreselijks (opnieuw) overkomt? Tellier: “Preventie is van groot belang. Niet alleen beschermings-, maar ook detectietools kunnen bescherming bieden. Zie het als sproeiers die aanschieten wanneer het brandt en zo de schade enigszins proberen te beperken. Ook niet onbelangrijk is de opleiding van je personeel, zodat zij de goede reflexen kweken, zowel voor als na een aanval.” Vanbiervliet: “Daarnaast zijn er ook heel wat bedrijven gespecialiseerd in audits. Zij gaan op zoek naar zwakke plekken in je informaticasystemen, en bieden je aanbevelingen om die te verbeteren. Want hoe veiliger een systeem, hoe voordeliger een verzekeringspremie.” Wat dekt zo’n cyberverzekering precies? Vanbiervliet: “Zodra een informaticasysteem binnengedrongen wordt, is er sprake van een cyberaanval waarbij je je verzekering kan inroepen. Die dekt de kosten van de herstellingen, van de advocaten die melding moeten maken aan de slachtoffers en de autoriteiten, de communicatiespecialisten die de reputatieschade moeten beperken,
de monitoring van de gestolen persoonsgegevens.” Tellier: “Ook de burgerlijke aansprakelijkheid voor het respecteren van de GDPR-wetgeving, het inkomensverlies door de bedrijfsstilstand en het losgeld kunnen door een cyberverzekering gedekt worden.” Vanbiervliet: “Wanneer de Gegevensberschermingsautoriteit van mening is dat het jouw eigen schuld is dat er persoonsgegevens werden gestolen omdat je informaticasysteem slecht was beveiligd, kan je ook een boete tot 4 procent van je omzet krijgen. Sommige verzekeringen dekken zelfs die boete.” Staat een verzekeringsmakelaar zoals Wilink bedrijven ook op andere manieren bij? Vanbiervliet: “Absoluut. Wilink is geen verzekeraar, maar een makelaar. Dat betekent dat wij verzekeringen - dekkingen, premies, voordelen en voorwaarden - met elkaar vergelijken om bedrijven een oplossing op maat te kunnen voorstellen.” Tellier: “Daarnaast hebben we een netwerk van experts IT-specialisten, advocaten, communicatiebureaus - uitgebouwd, zelfs in het buitenland. Zij zijn de mensen die bedrijven in nood het best kunnen bijstaan. Val je ten prooi aan cybercriminelen, neem dan zo snel mogelijk contact op met die experts. Bij een panne bel je ook als eerste de takeldienst, bij een brand de brandweer, en niet je verzekeraar.”