Waarom ransomware van back-ups het doelwit maakt in plaats van het vangnet
Jarenlang was back-up de uitzondering die ransomware overleefbaar maakte: productie versleuteld, terugzetten vanuit de back-up, verder. Aanvallers hebben die achterstand ingehaald. Het 2025 Ransomware Trends-rapport van Veeam ondervroeg 1.300 organisaties, waarvan er 900 in de voorgaande 12 maanden ten minste één ransomware-aanval hadden meegemaakt. Veeam meldt dat bij 89% van de organisaties de back-uprepository's doelwit waren van de aanvaller, en dat gemiddeld 34% van de back-uprepository's werd gewijzigd of verwijderd. Wie het vangnet vernietigt of beschadigt, neemt het slachtoffer zijn onderhandelingspositie af nog voordat het losgeldbriefje binnenkomt.
Het resultaat is terug te zien in de herstelcijfers. Voor State of Ransomware 2025 ondervroeg Sophos 3.400 IT- en securityleiders van organisaties die in het voorgaande jaar door ransomware waren getroffen. Van de organisaties waarvan de data was versleuteld, zette slechts 54% die terug met behulp van back-ups, het laagste percentage in de zes jaar dat Sophos de enquête houdt. Van de 151 organisaties die uiteindelijk meer betaalden dan de oorspronkelijke eis van de aanvaller, zei 38% dat hun back-ups hadden gefaald of niet goed werkten (respondenten noemden doorgaans twee redenen). Een back-up die op papier bestaat, is iets anders dan een back-up die onder druk schoon terugkomt.
Dat gat, tussen "we hebben back-ups" en "we hebben ransomwarebestendige back-ups", komt neer op drie pijlers: immutability, isolatie en getest herstel. Het zijn geen losse maatregelen die u naar believen kunt combineren. Ontbreekt er één, dan compenseren de andere twee dat niet. Een immutable back-up die een aanvaller niet kan bereiken, heeft alleen nut als hij ook daadwerkelijk terugkomt, en een goed getest restoreplan is waardeloos als de back-up waarop het steunt al was verwijderd voordat de oefening begon.
De drie pijlers, volledig uitgewerkt
1. Immutability: back-ups waar een aanvaller niet aan kan komen
Immutability betekent dat een back-up binnen zijn retentieperiode niet kan worden gewijzigd of verwijderd: niet door een verkeerd geconfigureerd retentiescript, niet door een gecompromitteerd beheerdersaccount en niet door een aanvaller die al domeinbeheerderscredentials heeft. In de praktijk wordt dit afgedwongen via Object Lock op objectstorage, Write Once Read Many (WORM)-hardware of een hardened Linux-repository waarbij de retentie op de storagelaag wordt afgedwongen, los van de eigen toegangscontrole van de back-upapplicatie.
Dat onderscheid doet ertoe, omdat ransomware-operators op zoek gaan naar back-ups die ze met gestolen credentials kunnen bereiken. De #StopRansomware Guide van CISA zegt het rechtstreeks: "Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions." (ransomware-actoren zoeken vaak naar credentials die in de aangevallen omgeving zijn opgeslagen, verzamelen die en gebruiken ze om te proberen toegang te krijgen tot back-upoplossingen). Als hetzelfde beheerdersaccount dat uw back-upsoftware beheert ook de restorepunten van vorige maand kan verwijderen, is immutability niet echt aanwezig. Dan is het een instelling die een aanvaller met voldoende rechten in een paar minuten uitzet.
Het eigen back-upadvies van CISA luidt: "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario." (houd offline, versleutelde back-ups van kritieke data bij en test regelmatig de beschikbaarheid en integriteit van back-ups in een disaster-recovery-scenario). Dezelfde gids is voorzichtig over immutable cloudstorage op zichzelf: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost." (gebruik immutable storage met voorzichtigheid, want het voldoet voor bepaalde regelgeving niet aan de compliance-eisen en een verkeerde configuratie kan aanzienlijke kosten veroorzaken). Immutability is een sterke maatregel. Ze vervangt geen offline kopie en geen geteste restore.
2. Isolatie: een apart identiteitsvlak, en een kopie die aanvallers helemaal niet kunnen bereiken
Immutability beschermt een back-up tegen wijziging. Isolatie beschermt hem ertegen dat hij überhaupt bereikbaar is. De twee vullen elkaar aan en zijn niet uitwisselbaar, en organisaties die er maar één invoeren, ontdekken het gat meestal tijdens een echt incident in plaats van tijdens een ontwerpreview.
Isolatie heeft twee onderdelen. Het eerste is een apart identiteitsvlak: back-upinfrastructuur mag niet hetzelfde Active Directory-domein, dezelfde beheerderscredentials of hetzelfde platte netwerksegment vertrouwen als productie. Een gecompromitteerde domeincontroller mag niet automatisch een gecompromitteerde back-upomgeving betekenen; als dat wel zo is, hoefde de aanvaller maar één ding te compromitteren in plaats van twee. Het tweede is een echte offline of air-gapped kopie: ten minste één kopie van kritieke data zonder enig permanent netwerkpad vanuit productie. Dat kan een offline tapewisseling zijn, een losgekoppeld replicatiedoel dat alleen kort online komt om data te ontvangen, of een cloudlaag waarvoor nergens binnen bereik van de productieomgeving persistente credentials in een cache staan.
Het rapport van Veeam uit 2025 zegt dat organisaties die prioriteit geven aan dataweerbaarheid "can recover from attacks up to seven times faster and experience significantly lower data loss rates." (tot zeven keer sneller van aanvallen kunnen herstellen en aanzienlijk minder dataverlies lijden). Veeam schrijft dat toe aan dataweerbaarheid als geheel (back-up en herstel, proactieve security, incident response), niet aan isolatie alleen. Isolatie is toch een groot deel van het plaatje: het is het verschil tussen een aanvaller die echt extra werk moet doen om uw herstelpunt te bereiken, en een aanvaller die er al een sessie naar open heeft staan omdat het een identiteitsvlak deelt met de systemen die hij net heeft gecompromitteerd.
3. Getest herstel: aantonen dat u kunt terugzetten voordat u het nodig hebt
De minst glamoureuze van de drie pijlers is ook de pijler die het makkelijkst half af blijft. In het rapport van Veeam uit 2025 had 98% van de respondenten een ransomware-playbook, maar had slechts 44% daarin back-upverificaties en de frequentie daarvan opgenomen. Het 2024 Ransomware Trends-rapport van Veeam, gebaseerd op 1.200 organisaties die in 2023 door ten minste één aanval waren getroffen, stelde vast dat 63% van de organisaties het risico liep infecties opnieuw binnen te halen tijdens het herstel, omdat teams die onder druk snel moeten terugzetten stappen overslaan, zoals het opnieuw scannen van data in quarantaine.
Ongeteste restores falen op manieren die onzichtbaar blijven tot het moment dat ze er het meest toe doen: gebroken back-upketens, ontbrekende afhankelijkheden voor applicatieconsistentie, credentials van serviceaccounts die maanden eerder zijn verlopen, of runbooks die zijn geschreven voor een infrastructuurtopologie die niet meer bestaat. Het overslaan van integriteits- en malwarescans brengt een scherper risico mee dan downtime: dezelfde payload terugzetten die de uitval in de eerste plaats veroorzaakte.
Een echt programma voor getest herstel betekent geplande, volledige restore-oefeningen in een geïsoleerde herstelomgeving, niet alleen meldingen dat de back-upjob is geslaagd. Meet die oefeningen af aan de RTO's die het bedrijf echt nodig heeft, niet aan cijfers die alleen geruststellend ogen in een presentatie.
Wat de herstelcijfers echt zeggen
De cijfers van Sophos over 2025 hebben een kop die geruststellend oogt: 97% van de organisaties waarvan data was versleuteld, kon die terughalen. De uitsplitsing is minder geruststellend. Iets meer dan de helft (54%) zette terug vanuit back-ups, 49% betaalde het losgeld en kreeg data terug, en 29% gebruikte andere middelen; veel organisaties gebruikten meer dan één route. Data terugkrijgen en data terugkrijgen uit uw eigen back-ups zijn verschillende uitkomsten. In de afstand daartussen worden zwakke pijlers zichtbaar: een retentielock die de verkeerde rol kon overrulen, een "apart" back-upnetwerk dat nog steeds hetzelfde domein vertrouwde, of een restore die nooit van begin tot eind was geoefend.
Wat het kost als dit misgaat
De drie pijlers zijn geen abstracte checklist met best practices. Ze hangen direct samen met hoeveel een ransomware-incident kost en hoe lang het duurt. Het rapport van Sophos uit 2025 stelt de gemiddelde kosten van herstel na een ransomware-aanval, zonder eventueel betaald losgeld, op $1,53 miljoen, tegenover $2,73 miljoen in 2024. 53% van de slachtoffers had binnen een week volledig hersteld, tegenover 35% een jaar eerder. De rest verkeerde langer dan zeven dagen in een of andere staat van verstoring, waarbij downtime, verloren productiviteit en werk voor incident response dagelijks optelden.
De back-uppositie is een van de weinige variabelen in die vergelijking die een organisatie volledig zelf in de hand heeft. Of de openingszet van een aanvaller tegen uw back-uprepository slaagt of mislukt, wordt grotendeels bepaald door keuzes die maanden eerder zijn gemaakt, niet tijdens het incident zelf. Tegen de tijd dat een aanvaller domeinbeheerderscredentials heeft en naar uw back-upplatform zoekt, zijn immutability, isolatie en getest herstel er al of ze zijn er niet; er is geen gelegenheid om ze onder druk alsnog in te bouwen.
Veelgemaakte fouten die alle drie ongemerkt ondermijnen
Een handvol patronen duikt steeds weer op in evaluaties na incidenten:
- Snapshots aanzien voor back-ups. Een VMware-snapshot is een wijzigingslog van de oorspronkelijke virtuele disk, geen onafhankelijke kopie. Het artikel van Broadcom met best practices voor snapshots is onomwonden: "Do not use VMware snapshots as backups." (gebruik VMware-snapshots niet als back-up). Het snapshotbestand groeit hoe langer het wordt bewaard, wat de datastore kan vullen en de prestaties kan schaden, en als de basisdisks verloren gaan, "the snapshot files alone are not sufficient to restore a virtual machine." (zijn de snapshotbestanden alleen niet voldoende om een virtuele machine terug te zetten). Snapshots zijn een gemaksfunctie om kortstondig terug te draaien (Broadcom adviseert één snapshot niet langer dan 72 uur te bewaren), geen herstelstrategie.
- "Immutable" behandelen als een vinkje in plaats van als een geverifieerde eigenschap. Object Lock en retentiebeleid moeten worden getest tegen precies de beheerdersrol die het back-upplatform beheert, en niet alleen in een configuratiehandleiding zijn beschreven.
- Een tweede kopie in hetzelfde identiteitsdomein "geïsoleerd" noemen. Als dezelfde credentials die in productie zijn gecompromitteerd zich ook bij de back-uprepository kunnen authenticeren, levert geografische of platformscheiding geen echte isolatie op.
- Succes meten aan voltooide back-ups in plaats van aan geverifieerde restores. Een groen vinkje bij de job van afgelopen nacht vertelt u dat er ergens data is weggeschreven. Het vertelt u niet dat die data op te halen is, applicatieconsistent is en vrij is van de malware die de restore in de eerste plaats noodzakelijk maakte.
Waar BackupSec in beeld komt
BackupSec vervangt uw back-upplatform niet. Drie van onze diensten sluiten aan op de pijlers hierboven:
- ZeroMON monitort Veeam Backup & Replication. Het draait on-premises als OVA, maakt verbinding met een read-only account en stuurt niets naar BackupSec of een andere derde partij. Het volgt de gezondheid van jobs, legt configuratiewijzigingen vast in de module Forensic & Audit (wie wat wanneer heeft gewijzigd), voert een checklist van de Security Analyzer uit, maakt rapporten en waarschuwt per e-mail en met een melding in de applicatie. Het toont de immutability-status van elke repository zoals de eigen repository-instellingen van Veeam die rapporteren, en signaleert wanneer die instelling verandert. Het leest de configuratie van Veeam uit; het verifieert geen locks op objectniveau in de storage zelf.
- ZeroTAM is een vaste adviseur voor back-upsecurity, geen software: ontwerp van architectuur en isolatie, capaciteitsplanning, planning van herstel na ransomware en ondersteuning met voorrang tijdens een crisis.
- ZeroPEN is een threat-led penetratietest van Veeam Backup & Replication, Veeam ONE en Enterprise Manager. Het simuleert een ransomware-kill chain, gekoppeld aan MITRE ATT&CK, in acht fasen: initiële toegang, verkenning en inventarisatie, misbruik van credentials, compromittering van de Veeam-server, toegang tot de repository, het uitschakelen van back-ups, simulatie van exfiltratie en een bewijs van versleutelingsvermogen. De test verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices. U krijgt audit-klaar bewijs, en kritieke bevindingen worden opnieuw getest. De opdracht omvat ook verificatie van restore-integriteit en immutability. Het is een test op één moment, dus de regelmatige restore-oefeningen uit pijler 3 moeten gewoon doorgaan.
Praat met BackupSec over de security van uw back-upomgeving →
Wilt u zien hoe uw eigen back-ups standhouden? Het gratis Backup Security Assessment stelt 28 vragen over zeven gebieden, van back-upstrategie en toegangscontrole tot hersteltests.