Wat ransomware met documentbeheer doet
Ransomware versleutelt de bestanden waartoe ze toegang heeft en eist dan losgeld in ruil voor de sleutel. In een documentbeheersysteem handelt ze met de rechten van het account of de werkplek die ze heeft besmet. Drie mechanismen verergeren de schade:
- synchronisatie: de besmette werkplek versleutelt zijn lokale kopie, waarna de synchronisatieclient de versleutelde bestanden naar de server stuurt, als een gewone wijziging, en van daar naar de andere apparaten;
- de geschiedenis: elk versleuteld bestand wordt een nieuwe versie. De oude versie kan de situatie redden, tenzij de aanvaller over voldoende rechten beschikt om de geschiedenis en de prullenbak te wissen;
- de back-up: het ANSSI stelt vast dat een aanvaller vaak probeert de back-upinfrastructuur te versleutelen, te wissen of onbeschikbaar te maken, om de heropbouw te verhinderen.
Sommige aanvallen kopiëren ook gegevens voordat ze die versleutelen. Herstel zet de bestanden terug in orde. Het lost dat deel niet op, dat onder crisisbeheer valt en, als er persoonsgegevens bij betrokken zijn, onder de AVG.
De actieradius beperken
U kunt niet beloven dat geen enkele werkplek wordt besmet. U kunt wel beperken wat een besmette werkplek of een besmet account kan bereiken.
Schrijfrechten
Een account dat een map alleen kan lezen, kan ze niet versleutelen. Referentiemappen (sjablonen, procedures, ondertekende contracten) kunnen voor de meeste personen alleen-lezen zijn. Rechten worden per groep en per map ingesteld, niet volgens ‘iedereen wijzigt alles’.
Beheerdersaccounts
Het ANSSI beveelt aan deze accounts tot het strikt noodzakelijke te beperken. Ze moeten persoonsgebonden zijn, beschermd met tweestapsverificatie, en niet voor het dagelijkse werk worden gebruikt.
Externe links
Een link die een onbekende wijzigingsrechten geeft, is een deur. Links die naar buiten gaan, hebben een wachtwoord, een einddatum en doorgaans alleen leesrecht.
Gesynchroniseerde werkplekken
Synchroniseer op elke werkplek alleen de mappen die nodig zijn. Laat gevoelige mappen in de browser. Installeer updates snel: het ANSSI herinnert eraan dat het cruciaal is dat binnen een korte termijn en volgens een beheerst proces te doen. De meest voorkomende toegangspoort blijft e-mail: zie bijlagen, links en ransomware.
Waarom de back-up buiten bereik moet zijn
Een back-up die toegankelijk is met hetzelfde account als de productie, wordt samen met die productie versleuteld. Drie scheidingen brengen haar in veiligheid:
- een andere identiteit: het ANSSI vraagt persoonsgebonden, specifieke beheerdersaccounts voor de back-up, en een infrastructuur die onafhankelijk is van de productiedirectory’s;
- onveranderlijkheid: een geschreven back-up kan tijdens haar bewaartermijn niet meer worden gewijzigd of verwijderd;
- een andere site, en indien mogelijk een offline kopie: het ANSSI acht die onmisbaar en robuuster dan een onveranderlijke back-up die online blijft.
Blijft de diepte. Een indringing kan meerdere weken onopgemerkt blijven vóór de versleuteling. Is de bewaartermijn korter dan die periode, dan kunnen alle beschikbare back-ups de aanvaller of al beschadigde bestanden bevatten.
De herstelvolgorde
Herstel is geen knop. Het is een reeks stappen, en de volgorde telt.
- Indammen. De besmette werkplekken van het netwerk isoleren, de gecompromitteerde accounts schorsen, de synchronisatie en de externe links van het getroffen gebied uitschakelen. Het ANSSI raadt ook aan een logboek met tijdstempels bij te houden, de back-upmedia los te koppelen nadat is gecontroleerd dat ze gezond zijn, en de machines niet uit te schakelen, omdat dat nuttige sporen kan wissen.
- Het begin dateren. Het eerste versleutelde bestand, het betrokken account en de betrokken werkplek identificeren. Dat bepaalt het herstelpunt.
- Het herstelpunt kiezen vóór de versleuteling, met een marge als de datum onzeker is.
- Terugzetten op een gezonde omgeving. Het ANSSI beveelt aan opnieuw te installeren vanaf een bekend medium en daarna de gegevens terug te zetten uit een back-up van vóór de compromittering. Als de tool het toelaat, voorkomt u door alleen het getroffen gebied te herstellen dat werk dat sindsdien elders is gedaan, wordt overschreven.
- Controleren. Willekeurige bestanden openen, nagaan dat er geen versleuteld bestand overblijft, het lek waarlangs de aanval binnenkwam dichten, de wachtwoorden wijzigen.
- De toegang geleidelijk heropenen. De werkplekken synchroniseren opnieuw vanaf de herstelde server, nooit omgekeerd. Een niet-opgeschoonde werkplek die opnieuw verbinding maakt, stuurt zijn versleutelde bestanden terug.
Tegelijk beveelt het ANSSI aan nooit losgeld te betalen, de versleutelde gegevens te bewaren (een sleutel kan later worden gepubliceerd), aangifte te doen, en bij een inbreuk in verband met persoonsgegevens de CNIL via de crisiscel te laten verwittigen.
Wat verloren gaat: de RPO in de praktijk
Fictief geval. Een kantoor met twintig medewerkers maakt elk uur een back-up van zijn documenten. Op maandag om 9.15 uur begint een gesynchroniseerde werkplek de map ‘Klanten’ te versleutelen. Om 10.05 uur wordt alarm geslagen.
Het laatste gezonde punt is de back-up van 9.00 uur. De map ‘Klanten’ keert terug naar haar toestand van 9.00 uur. De wijzigingen die tussen 9.00 en 9.15 uur in deze map zijn aangebracht, zijn verloren. Die in de andere mappen niet, als het herstel beperkt blijft tot de getroffen map. De secretaresse die om 9.10 uur drie brieven heeft opgeslagen, vindt ze terug in haar e-mail en plaatst ze opnieuw.
Dat meet de RPO, het maximaal toelaatbare gegevensverlies: de afstand tussen het herstelpunt en het incident. De RTO, de maximaal toelaatbare onderbrekingsduur, meet iets anders: de tijd tot de teams weer aan het werk zijn. Beide worden vóór het incident vastgelegd, niet tijdens.
Veelgemaakte fouten
- Herstellen vóór het indammen. De werkplek die nog verbonden is, versleutelt de herstelde bestanden opnieuw.
- Opnieuw synchroniseren vanaf de besmette werkplek. De lokale kopie is de versleutelde kopie.
- Rekenen op de prullenbak. Die bevat geen gewijzigde bestanden, alleen verwijderde.
- De bewaartermijn pas op de dag zelf ontdekken. Dateert de indringing van zes weken geleden en bedraagt de bewaartermijn dertig dagen, dan wordt de keuze van het herstelpunt ingewikkeld.
Veelgestelde vragen
Volstaat versiebeheer tegen ransomware?
Het helpt als de geschiedenis intact is. Het volstaat niet als de aanvaller die heeft kunnen wissen. Het verschil wordt uitgelegd in versiebeheer, replicatie en back-up.
Moet u het losgeld betalen?
Het ANSSI beveelt aan het nooit te betalen. Betalen garandeert noch de sleutel, noch dat er geen nieuwe aanval komt.
Hoe beperkt u wie een map kan wijzigen?
Met rechten per groep en per map. Zie instellen wie welke documenten ziet.
Hoe voorkomt u dat een link als toegangspoort dient?
Met een wachtwoord, een einddatum en alleen leesrecht. Zie deellinks, partners en downloads.
Waar Klytic staat
Voor Klytic Docs wordt er elk uur een back-up gemaakt. De back-ups zijn versleuteld, onveranderlijk, gerepliceerd op meerdere sites, gemonitord en worden 30 dagen bewaard, en het herstel wordt elke maand getest. De doelstellingen zijn een RPO van minder dan 2 uur voor de documenten en een RTO van minder dan 4 uur. Het herstel vraagt u aan bij de support van Klytic, met de reikwijdte en de datum bij benadering. Het is inbegrepen wanneer het verlies voortkomt uit een storing van de dienst van Klytic. Na ransomware of een gehackt account bij u is het herstel ook inbegrepen als uw werkplekken correct beveiligd waren: updates toegepast, antivirus actief. Waren ze onvoldoende beveiligd, dan gebeurt het via een betalend supportticket, net als een herstel na een verkeerde handeling. De details staan op de pagina beveiliging en back-up.
Wat preventie betreft, biedt Klytic Docs rechten per persoon, per groep en per map, tweestapsverificatie, een toegangslogboek, en links die met een wachtwoord en een vervaldatum zijn beveiligd. Aan de kant van Klytic zijn technische toegangen beperkt tot exploitatie- en supporthandelingen, persoonsgebonden en gelogd.
De grenzen: dertig dagen bewaartermijn dekken geen compromittering die later wordt ontdekt. Klytic herstelt zijn diensten; het opschonen van uw werkplekken, uw netwerk en uw directory is de taak van uw IT-team of uw dienstverlener. Klytic is geen SecNumCloud-gekwalificeerd aanbod.
Deze pagina beschrijft een algemeen kader. Volg bij een incident uw herstelplan en de instructies van de bevoegde autoriteiten.
Bronnen
Geraadpleegd in oktober 2026.
- ANSSI en het Franse ministerie van Justitie (DACG), “Attaques par rançongiciels, tous concernés” (Aanvallen met ransomware, iedereen is betrokken), 2020: losgekoppelde back-ups, beperking van beheerdersaccounts, snelle updates; bij een incident: logboek, isolatie, niet uitschakelen, bewaren van de versleutelde gegevens, niet betalen, aangifte, herstel uit een back-up van vóór de compromittering. messervices.cyber.gouv.fr
- ANSSI, “Sauvegarde des systèmes d’information” (Back-up van informatiesystemen), gids ANSSI-BP-100, v1.1: de aanvaller viseert vaak de back-upinfrastructuur; specifieke accounts; offline robuuster dan online WORM; PDMA en DMIA. messervices.cyber.gouv.fr
- Klytic, Beveiliging en back-up: onveranderlijke, versleutelde, gerepliceerde back-ups, 30 dagen, herstel elke maand getest, RTO minder dan 4 uur, RPO minder dan 2 uur. klytic.com
- Klytic, Hosting en soevereiniteit: technische toegangen beperkt tot exploitatie en support, persoonsgebonden en gelogd. klytic.com
