Wordt u nu aangevallen? Bel onmiddellijk onze Service Desk:
+32 3 297 77 77Ransomware Aanval: Uw Actieplan voor de Eerste 24 Uur
Elke dag wordt een Belgische KMO slachtoffer van een ransomware aanval. De eerste 24 uur bepalen of uw bedrijf dit overleeft. Dit is uw actieplan — bewaar het nu, voor u het nodig heeft.
Herken de aanval: de eerste signalen
Ransomware slaat razendsnel toe — maar er zijn vaak vroege signalen. Hoe sneller u herkent wat er gebeurt, hoe meer u kunt beperken.
Uur 0–1: Isoleer en stop de verspreiding
Dit is de meest kritieke fase. Elke minuut vertraging betekent meer versleutelde bestanden en meer besmette systemen. Handel nu, denk later.
- 1Trek de netwerkkabel uit van getroffen toestellen — verwijder ze van het netwerk
- 2Schakel wifi UIT op alle toestellen die mogelijk besmet zijn
- 3Koppel gedeelde schijven en NAS-opslag onmiddellijk los
- 4Schakel VPN-verbindingen uit om verspreiding naar externe sites te stoppen
- 5Blokkeer verdachte accounts in Microsoft 365 / Active Directory
- 6Waarschuw uw IT-partner of -afdeling ONMIDDELLIJK
- 7Stop NIET — sluit toestellen NIET af tenzij uw IT-expert dit vraagt (logs gaan verloren)
Uur 1–4: Breng uw crisisteam samen
Haal de juiste mensen samen. Beslissingen nemen in paniek — alleen — is het ergste wat u kunt doen.
Zaakvoerder / CEO
Eindverantwoordelijke voor beslissingen, communicatie naar bestuur
IT-verantwoordelijke / MSP
Technische analyse, isolatie, forensisch onderzoek starten
Juridisch adviseur
GDPR-verplichtingen, aansprakelijkheid, losgeld-advies
Verzekeraar
Polis activeren, procedure volgen, dekking bevestigen
Communicatieverantwoordelijke
Interne communicatie medewerkers, externe communicatie klanten
Finance
Budget voor herstel, losgeld-beslissing voorbereiden
Communiceer via telefoon, niet via e-mail of bedrijfschat — uw communicatiesystemen kunnen ook gecompromitteerd zijn.
Uur 4–8: Beoordeel de schade
Nu de verspreiding gestopt is, brengt u in kaart wat geraakt is. Dit bepaalt uw herstelstrategie.
- Welke systemen zijn versleuteld? Maak een volledige inventaris.
- Welke data is getroffen? Is er persoonsdata betrokken? (→ GDPR-klok loopt!)
- Identificeer het type ransomware (zoek de losgeld-note, noteer de extensie)
- Controleer de status van uw backups — zijn ze intact? Wanneer zijn ze gemaakt?
- Zoek de initiële infectiebron: phishing mail, RDP-verbinding, besmette USB?
- Documenteer alles met screenshots en tijdstempels (voor verzekering + forensics)
Uur 8–12: Beslis over communicatie
Transparantie is moeilijk maar essentieel. Slechte communicatie kan de schade vergroten.
Medewerkers
Informeer iedereen eerlijk en snel. Leg uit wat er speelt, wat ze moeten doen en wat ze niet mogen doen. Vermijd geruchten.
Klanten en partners
Informeer enkel als hun data betrokken is of als uw dienstverlening verstoord is. Wees concreet en vermijd vage PR-taal.
GBA (GDPR)
Als persoonsdata betrokken is: u heeft 72 uur om te melden. Begin de procedure nu al voor te bereiden.
Pers / media
Zeg niets tenzij u verplicht bent of het gelekt is. Als u communiceert: één woordvoerder, één boodschap.
Uur 12–24: Herstelproces opstarten
Pas na isolatie, schadetoestand en communicatie start het eigenlijke herstel. Overhaast herstellen is gevaarlijk — de malware kan nog actief zijn.
- Herstel ENKEL op schone, geïsoleerde systemen — nooit op besmette
- Gebruik schone backups — controleer de datum en integriteit
- Verwijder ransomware volledig voor u systemen terug verbindt
- Herstel kritieke systemen eerst: financieel, communicatie, productie
- Stel tijdelijke werkoplossingen in voor medewerkers (papier, mobiel, cloud)
- Houd een herstellog bij: wat is hersteld, wanneer, door wie
- Schakel externe forensische expertise in bij complexe aanvallen
Wat u absoluut NIET moet doen
Paniek is begrijpelijk, maar de volgende fouten maken een slechte situatie veel erger:
NIET: Systemen onmiddellijk afsluiten of herstarten
U vernietigt waardevolle forensische sporen en logs die u nodig heeft om de aanval te begrijpen en de infectiebron te vinden.
NIET: Bestanden proberen te herstellen met willekeurige tools
Verkeerde decryptietools kunnen bestanden permanent beschadigen. Gebruik enkel bewezen tools zoals No More Ransom of doe een beroep op experts.
NIET: Het bedrijfsnetwerk onmiddellijk terug online brengen
Als de infectie niet volledig verwijderd is, verspreidt de ransomware zich opnieuw zodra u systemen verbindt. Grondige reiniging eerst.
NIET: Betalen zonder advies van experts en politie
Betaling geeft geen garantie. 40% van de bedrijven die betalen, krijgen hun data nooit of slechts gedeeltelijk terug. En het maakt u een herhaaldoelwit.
NIET: Niet communiceren met medewerkers
Geruchten zijn gevaarlijker dan de waarheid. Medewerkers die niets weten, kunnen per ongeluk de situatie verergeren — bijv. door besmette toestellen aan te sluiten.
Losgeld betalen: de argumenten voor en tegen
Dit is de zwaarste beslissing die u als zaakvoerder kunt nemen. Er is geen goed antwoord — enkel een weloverwogen beslissing op basis van feiten.
Argumenten vóór betalen
- Geen bruikbare backups beschikbaar
- Kritieke bedrijfsdata dreigt permanent verloren te gaan
- Herstel duurt weken — bedrijf kan niet functioneren
- Verzekering dekt de betaling
- Aanvallers hebben bewezen track record van data teruggeven
Argumenten tégen betalen
- 40% van betalende bedrijven krijgt data niet volledig terug
- Maakt u een herhaaldoelwit (u staat op 'betalende slachtoffers'-lijsten)
- Financiert criminele organisaties
- Geen garantie dat gestolen data niet alsnog gepubliceerd wordt
- Autoriteiten raden betaling ten stelligste af
Juridische verplichtingen: GDPR en NIS2
GDPR — 72-uurs meldplicht
Als persoonsgegevens betrokken zijn bij de aanval (klantdata, personeelsdata, ...), moet u het lek melden aan de Gegevensbeschermingsautoriteit (GBA) binnen 72 uur. Bij hoog risico voor betrokkenen ook de betrokkenen zelf informeren.
→ GBA meldplatformNIS2 — meldplicht voor essentiële entiteiten
Valt u onder de NIS2-richtlijn (essentiële of belangrijke entiteit)? Dan bent u verplicht significante incidenten te melden bij het Centrum voor Cybersecurity België (CCB) binnen 24 uur (vroegtijdige melding) en 72 uur (volledige melding).
→ CCB meldplatformLet op: De 72-uurs klok loopt vanaf het moment dat u redelijkerwijs op de hoogte bent van het lek — niet vanaf het moment dat u zeker bent. Begin uw meldingsproces direct zodra u vermoedt dat persoonsdata betrokken is. Lees ook ons artikel over NIS2-compliance voor KMO's →
Wie moet u bellen?
Acom Service Desk (IT-partner)
Prioriteit 1+32 3 297 77 77
Onmiddellijke technische hulp bij isolatie, forensics en herstel. 24/7 bereikbaar voor crisissituaties.
Lokale politie / FCCU
101 of fccu@police.be
Aangifte doen. Federal Computer Crime Unit voor cybercriminaliteit.
Centrum voor Cybersecurity België (CCB)
ccb.belgium.be — cert@cert.be
Meldplicht NIS2. CERT.be biedt ook technische ondersteuning en advies.
Gegevensbeschermingsautoriteit (GBA)
gegevensbeschermingsautoriteit.be
GDPR-melding als persoonsgegevens betrokken zijn. Doe dit binnen 72 uur.
Uw cyberverzekering
Zie uw polisdocument
Activeer uw polis zo snel mogelijk. Veel polissen vereisen snelle melding om dekking te behouden.
No More Ransom
nomoreransom.org
Gratis platform met decryptietools voor tientallen ransomware-varianten. Controleer of uw variant gedekt is.
Na de aanval: lessen en hardening
Als de storm voorbij is, begint het echte werk: ervoor zorgen dat dit nooit meer gebeurt. Bedrijven die een aanval overleven zonder lessen te trekken, worden gemiddeld binnen 18 maanden opnieuw getroffen.
Root cause analysis
Hoe is de ransomware binnengekomen? Phishing, zwak wachtwoord, kwetsbare RDP? Pak de bron aan — niet enkel de symptomen.
MFA overal implementeren
Geen enkel account zonder multi-factor authenticatie. Dit is de eenvoudigste manier om de meeste aanvallen te stoppen.
Backup-strategie herbekijken
3-2-1 backup-regel: 3 kopieën, 2 media, 1 offsite. Zorg dat backups offline of immutable zijn — ransomware versleutelt ook aangekoppelde backups.
Security awareness training
80% van ransomware-aanvallen start met een phishing mail. Train uw medewerkers regelmatig met realistische simulaties.
Incident response plan opstellen
Schrijf uw plan nu, niet tijdens de volgende aanval. Wie doet wat? Wie belt wie? Sla het op buiten uw IT-systemen.
EDR en monitoring activeren
Endpoint Detection & Response detecteert verdacht gedrag vóór de versleuteling start. Monitoring en alerting zijn uw vroegtijdig waarschuwingssysteem.