Maandagochtend, de eerste medewerker logt in en ziet alleen nog een losgeldmelding. Bestanden zijn onleesbaar, shares zijn weggevallen en de planning ligt stil. Op dat moment telt vooral één vraag: wat te doen na ransomware aanval, zonder de schade groter te maken dan die al is.

De eerste fout gebeurt vaak in paniek. Iemand herstart servers, een collega opent opnieuw besmette systemen of er wordt meteen contact gezocht met de afpersers. Begrijpelijk, maar riskant. Bij ransomware wint niet degene die het snelst iets doet, maar degene die de juiste stappen in de juiste volgorde zet.

Wat te doen na ransomware aanval: eerst controle, dan herstel

Een ransomware-incident is niet alleen een technisch probleem. Het raakt uw operatie, communicatie, compliance en reputatie tegelijk. Daarom moet de reactie strak georganiseerd zijn. Niet alles hoeft in het eerste uur opgelost te worden, maar de eerste beslissingen bepalen wel hoeveel systemen, data en tijd u verliest.

Begin met isoleren. Haal getroffen apparaten direct van het netwerk. Verbreek bekabelde verbindingen, schakel wifi uit en blokkeer waar nodig VPN-toegang. Als u twijfelt of een toestel besmet is, behandel het dan voorlopig als verdacht. Het doel is simpel: voorkomen dat de malware verder beweegt naar fileservers, back-ups, cloudomgevingen of andere werkplekken.

Daarna moet u overzicht krijgen. Welke systemen zijn geraakt, sinds wanneer, en welke bedrijfsprocessen liggen plat? Denk niet alleen aan servers en laptops, maar ook aan VoIP, printers, NAS-systemen, virtuele omgevingen en gekoppelde accounts in Microsoft 365 of Google Workspace. Ransomware blijft zelden netjes binnen één map of één toestel.

Niet meteen betalen, en ook niet meteen wissen

Veel organisaties vragen binnen een uur of betalen de snelste oplossing is. Het eerlijke antwoord is: meestal niet. Betalen geeft geen garantie op herstel, geen garantie dat data niet al is buitgemaakt en geen garantie dat u later niet opnieuw wordt afgeperst. Bovendien kan betalen juridische en verzekeringsvragen oproepen, afhankelijk van de aanvallers en de situatie.

Aan de andere kant is alles direct formatteren of opnieuw installeren ook niet verstandig. Daarmee kunt u sporen wissen die later nodig zijn voor onderzoek, verzekering, melding of juridisch dossier. Eerst moet duidelijk zijn wat er precies is gebeurd. Pas daarna beslist u welke systemen opnieuw opgebouwd worden en welke data veilig teruggezet kan worden.

Dat vraagt om discipline. In een crisis wil iedereen weer aan het werk. Toch is te snel herstellen soms duurder dan een paar uur extra onderzoek. Een besmette back-up terugplaatsen of een geïnfecteerd account opnieuw activeren zorgt vaak voor een tweede ronde schade.

Verzamel bewijs terwijl u de omgeving afschermt

Zodra de verspreiding is afgeremd, is het belangrijk om bewijsmateriaal veilig te stellen. Maak foto’s of screenshots van meldingen, noteer bestandsnamen van ransom notes, tijdstippen, betrokken systemen en eerste waarnemingen van medewerkers. Verzamel logbestanden, verdachte e-mails en informatie over recente inlogpogingen of software-updates.

Dat klinkt administratief, maar dit is precies de informatie die later het verschil maakt. U hebt die nodig om de toegangsvector te achterhalen, te bepalen of er ook datadiefstal is geweest en onderbouwd te communiceren met verzekering, klanten of toezichthouders. Zonder goede vastlegging blijft u gissen, en gissen is geen strategie.

Laat medewerkers intussen weten wat ze wel en niet moeten doen. Geen apparaten opnieuw opstarten, geen externe schijven aansluiten, geen verdachte e-mails verwijderen en geen eigen herstelpogingen uitvoeren. Eén duidelijke instructie aan het team voorkomt veel extra schade.

Kijk verder dan versleuteling alleen

Ransomware is allang niet meer alleen een kwestie van bestanden versleutelen. In veel gevallen hebben aanvallers eerst toegang verkregen, zich lateraal bewogen, accounts misbruikt en data gekopieerd voordat zij de omgeving blokkeerden. Dat betekent dat uw probleem groter kan zijn dan niet-openende bestanden.

Controleer daarom ook of beheerdersaccounts zijn misbruikt, of multifactor-authenticatie overal actief was, of er onbekende tools zijn geïnstalleerd en of cloudaccounts afwijkend gedrag vertonen. Denk aan mailboxregels, verdachte aanmeldlocaties, nieuwe beheerdersrollen of ongebruikelijke exports van data.

Dit is het punt waarop gespecialiseerde incident response vaak nodig is. Niet omdat elk incident groot moet worden gemaakt, maar omdat u met halve zekerheid geen veilige herstart kunt doen. Zeker bij kleinere en middelgrote organisaties is de neiging groot om het intern op te lossen. Soms lukt dat, maar vaak mist dan de forensische diepgang om herhaling te voorkomen.

Melden is geen bijzaak

Als er persoonsgegevens zijn geraakt of vermoedelijk zijn buitgemaakt, kan een meldplicht gelden. Ook cyberverzekeraars stellen vaak eisen aan timing, documentatie en de inzet van erkende specialisten. Wachten tot alles technisch opgelost lijkt, is dan een fout.

Bespreek dus vroeg wie u moet informeren. Dat kan intern de directie zijn, maar ook juridische ondersteuning, verzekering, klanten of betrokken partners. De juiste volgorde verschilt per organisatie. Een productiebedrijf met ketenafhankelijkheid heeft andere prioriteiten dan een accountantskantoor of zorgorganisatie. Wat niet verschilt, is dat u feiten van vermoedens moet scheiden.

Communiceer daarom nuchter. Niet bagatelliseren, maar ook niet speculeren. Zeg wat u weet, wat u onderzoekt en welke tijdelijke maatregelen zijn genomen. Heldere communicatie geeft rust, ook als nog niet alles bekend is.

Herstellen kan pas als de oorzaak onder controle is

Systemen terugzetten uit back-up klinkt als de logische volgende stap. Toch is de kwaliteit van die stap volledig afhankelijk van uw voorbereiding. Zijn de back-ups schoon? Zijn ze recent? Waren ze bereikbaar vanaf het besmette netwerk? En weet u zeker dat het oorspronkelijke lek gesloten is?

Een goed herstelplan werkt in volgorde van bedrijfscontinuïteit. Eerst de processen die uw organisatie operationeel houden, daarna de rest. Denk aan identiteitsbeheer, kernapplicaties, fileservices, communicatie en productie- of planningssystemen. Niet alles hoeft tegelijk online, en meestal is dat ook onverstandig.

Test teruggezette systemen apart waar mogelijk. Controleer accounts, rechten, geplande taken, scripts en koppelingen. Verander wachtwoorden breed, zeker voor beheerders, serviceaccounts en externe toegang. Herstel is geen knop. Het is gecontroleerd opnieuw opbouwen.

Juist hier loont een partner die zowel infrastructuur, security als dataherstel begrijpt. Anders krijgt u versnipperde adviezen: iemand herstelt de server, een ander blokkeert accounts, maar niemand bewaakt het totaalplaatje. Voor organisaties die snel terug operationeel moeten zijn, is één aanspreekpunt vaak net zo belangrijk als technische capaciteit.

Wat u na de aanval structureel moet aanpassen

Als de directe crisis voorbij is, komt de vraag die vaak te laat gesteld wordt: hoe kon dit gebeuren? Het eerlijke antwoord is zelden één oorzaak. Meestal is het een combinatie van een zwak wachtwoord, ontbrekende updates, te ruime rechten, onvoldoende netwerksegmentatie, een mislukte back-upcontrole of een medewerker die precies op het verkeerde moment op een overtuigende e-mail klikte.

Daarom moet de evaluatie breder zijn dan alleen de besmette machine. Kijk naar patchbeheer, endpointdetectie, e-mailbeveiliging, logging, toegangsbeheer, back-upstrategie en awareness. Als er geen incidentplan lag, maak dat dan nu wel. Niet als dik document voor in een map, maar als praktisch draaiboek met rollen, contactpersonen en beslisregels.

Ook tabletop-oefeningen helpen. Niet omdat u daarmee elke aanval voorkomt, maar omdat snelheid en rust geoefend moeten worden. Een organisatie die vooraf weet wie beslist, wie communiceert en wie systemen mag isoleren, verliest minder kostbare tijd.

Wanneer direct externe hulp nodig is

Niet elk incident heeft dezelfde zwaarte. Toch zijn er signalen waarbij u beter meteen opschaalt. Bijvoorbeeld als meerdere servers versleuteld zijn, back-ups onbetrouwbaar lijken, domeinaccounts zijn misbruikt of er aanwijzingen zijn voor datadiefstal. Ook als uw interne IT-partner vooral beheer doet en weinig ervaring heeft met ransomware, is snelle specialistische hulp verstandiger dan improvisatie.

Voor veel bedrijven is dat geen comfortabele boodschap, maar wel een eerlijke. Ransomware is geen standaard storing. Het is een beveiligingsincident met technische, operationele en soms juridische gevolgen. Dan is snelheid belangrijk, maar ervaring nog meer.

Een partij als Letech wordt in zulke situaties niet alleen ingeschakeld om systemen weer online te krijgen, maar vooral om schade te begrenzen, de oorzaak aan te pakken en de omgeving veilig terug op te bouwen. Dat verschil merkt u pas echt op het moment dat elke minuut telt.

De grootste fout is doen alsof het opgelost is

Wanneer medewerkers weer kunnen inloggen en een paar cruciale bestanden terug zijn, voelt het verleidelijk om door te gaan. Toch zit het risico vaak in wat u niet ziet: achterdeurtjes, gestolen accounts, onopgemerkte exports of dezelfde kwetsbaarheid die gewoon nog openstaat.

Neem daarom de nasleep serieus. Laat controleren of de omgeving echt schoon is, of monitoring op orde staat en of uw back-ups niet alleen bestaan, maar ook aantoonbaar herstelbaar zijn. Een aanval die u overleeft zonder lessen door te voeren, blijft een open uitnodiging voor de volgende.

Wie zich afvraagt wat te doen na ransomware aanval, zoekt meestal een snelle checklist. Die is nuttig, maar niet genoeg. Wat u nodig hebt, is een kalme, doordachte aanpak die schade begrenst, bewijs bewaart en herstel pas inzet wanneer het verantwoord is. Juist in die volgorde maakt u het verschil tussen tijdelijke ontwrichting en een crisis die weken blijft nazinderen.

De beste stap na een aanval is daarom niet de luidste of de snelste, maar de meest gecontroleerde. Rust brengt overzicht, en overzicht brengt uw organisatie terug in regie.