Wat de #StopRansomware-adviezen zeggen over de ransomware-economie: betalingen, sectoren, affiliates
De gezamenlijke #StopRansomware-adviezen die CISA, de FBI en partnerinstanties publiceren, leest men meestal als materiaal voor incidentrespons: indicatoren van compromittering, tactiekkaarten, mitigatiechecklists. Naast elkaar gelezen vormen ze tegelijk een ongewoon openbare neerslag van hoe de ransomware-economie is georganiseerd. De adviezen over ALPHV/Blackcat, Black Basta en Medusa beschrijven in bewust nuchtere taal wie het werk doet, hoe toegang tot netwerken wordt gekocht en hoe slachtoffers richting betaling worden geduwd.
Een arbeidsmarkt, niet één bende
Het advies over Medusa (AA25-071A, voor het eerst gepubliceerd in maart 2025 en bijgewerkt in augustus 2026, ook op de FBI-site te vinden) is over geld het meest expliciet. Het stelt dat Medusa-ontwikkelaars op cybercrimefora initiële-toegangsbrokers werven, met betalingen tussen 100 en 1 miljoen dollar voor IAB's, plus de kans om exclusief voor Medusa te werken; de meeste IAB's werken tegelijk voor meerdere ransomwarevarianten. De waar is toegang tot netwerken; het merk dat hem koopt, is grotendeels vervangbaar. Hetzelfde advies beschrijft een getrapt affiliaatmodel: Medusa begon in juni 2021 als gesloten operatie en schakelde begin 2023 over op een ransomware-as-a-service-structuur, waarin affiliaten naar ervaring en winstgevendheid verschillende niveaus van vertrouwen krijgen. Bij nieuwere affiliates kan de losgeldonderhandeling centraal door de ontwikkelaars worden gestuurd. Het advies over ALPHV/Blackcat en het advies over Black Basta beschrijven hun onderwerpen op dezelfde manier: RaaS-operaties waarin bij naam genoemde affiliates de inbraak en afpersing uitvoeren onder voorwaarden van de kerngroep. De leaksite als betaalmechanisme
De adviezen behandelen leaksites als onderdeel van het betalingsproces, niet als publiciteit. De .onion-site van Medusa zet slachtoffers op een rij met afteltimers; een slachtoffer kan 10.000 dollar in cryptocurrency betalen om de timer precies één dag te verlengen. De acteurs bieden een tijdelijk verlaagd tarief bij snelle betaling en baseren hun eisen volgens het advies op de openbaar gemaakte omzet van het slachtoffer. Het document legt ook vast wat er na betaling kan gebeuren: een betalend slachtoffer werd opnieuw benaderd voor nog eens de helft van het losgeld, zogenaamd voor een 'echte decryptor', en de auteurs stellen dat er geen enkele manier is om te controleren of gestolen data echt wordt verwijderd. Het advies over Black Basta beschrijft een parallel mechanisme: losgeldbriefjes geven slachtoffers 10 tot 12 dagen voordat de data op de Tor-site 'Basta News' van de groep wordt gepubliceerd. De ALPHV-update documenteert de andere kant van de markt: sommige affiliates persen alleen met gestolen data, zonder ooit ransomware te installeren. Opportunistische doelen, terugkerende sectoren
Geen van de drie groepen wordt als kieskeurig beschreven. Medusa-actoren opereren opportunistisch en richten zich op slachtoffers met ongepatchte software; de zorg is desondanks een veelvoorkomend slachtoffer, en per april 2026 telt het advies meer dan 500 Medusa-slachtoffers in kritieke infrastructuursectoren. Black Basta-affiliates hadden in mei 2024 wereldwijd meer dan 500 organisaties geraakt, in ten minste 12 van de 16 kritieke infrastructuursectoren, met de zorg als aantrekkelijk doel vanwege de technische afhankelijkheid en de verstoring die een aanval aan de patiëntenzorg toebrengt. De ALPHV-update merkte op dat van bijna 70 gelekte slachtoffers sinds half december 2023 de zorgsector het vaakst werd geraakt, een periode nadat de beheerder van de groep had opgeroepen ziekenhuizen te gaan targeten na actie tegen de infrastructuur van de groep. Dalende betalingen, blijvend sanctierisico
Over betalingsgedrag is de gepubliceerde overheidspositie regulerend in plaats van statistisch. Het bijgewerkte OFAC-advies over losgeldbetalingen uit september 2021 stelt dat de Amerikaanse regering alle particuliere bedrijven en burgers ten sterkste afraadt losgeld of afpersingsvorderingen te betalen; waarschuwt dat facilitators zoals banken, cyberverzekeraars en incidentresponsebedrijven civiele sancties riskeren op basis van strikte aansprakelijkheid; en noemt een vermoeden van afwijzing voor licenties die losgeldbetalingen aan gesanctioneerde partijen inhouden. Hetzelfde document, aangekondigd samen met de sanctionsaanduiding van exchange Suex voor het faciliteren van ransomwareopbrengsten, vertelt slachtoffers dat een snelle melding bij opsporingsdiensten of CISA krediet voor vrijwillige openbaarmaking en aanzienlijke matiging kan opleveren, met de kanttekening dat er geen garantie is om weer toegang tot de data te krijgen. Marktdata laten de druk aan de betaalkant zien. Chainalysis meet ruim 813,55 miljoen dollar aan ransomwarebetalingen in 2024, zo'n 35 procent onder het record van 1,25 miljard dollar uit 2023 en de eerste daling sinds 2022; in minder dan de helft van de geregistreerde incidenten werd betaald, en een onderhandelaar die in het rapport wordt geciteerd schat dat zo'n 30 procent van de onderhandelingen tot betaling leidt. Chainalysis ziet ook dat eindbetalingen clusteren tussen 150.000 en 250.000 dollar, los van de initiële eis: de onderhandeling, niet het openingsbedrag, bepaalt uiteindelijk de prijs. Waarom de adviezen affiliates bij naam noemen
Het terugkerende detail in deze documenten is structureel: wie het netwerk compromitteert, wie onderhandelt, wie de ransomware onderhoudt en welke dienst het geld wegsluist, zijn verschillende partijen, vaak in verschillende jurisdicties. Daarom noemen de adviezen affiliates, toegangsbrokers en tussenpersonen bij naam in plaats van één merk. Handhaving volgt de rollen, zoals toen Treasury in 2021 de exchange Suex aanwees — de eerste virtuele-valutabeurs die werd gesanctioneerd voor het faciliteren van ransomwareopbrengsten, gelinkt aan minstens acht varianten — zonder een sanctieverband met één specifieke RaaS-variant te leggen. Voor wie leaksites volgt, is de praktische les dezelfde als in ons stuk over hoe ransomware-leaksites op .onion werken: de aftelklok is een betaalmechanisme, en de machinerie eromheen — brokertarieven, getrapte affiliates, sanctierisico voor facilitators — is wat deze adviezen feitelijk documenteren.
