Houd je vast, want AI gaat zorgen voor een tsunami van digitale afpersingen

In dit artikel:

Ransomware kost overheden en bedrijven al vele miljoenen en vormt ondanks betere wetgeving en beveiliging een blijvende dreiging. Volgens Anja Shortland, hoogleraar politieke economie en auteur van het boek ‘Je geld of je gegevens’, kan kunstmatige intelligentie (AI) deze vorm van digitale afpersing verder versterken. Tegelijkertijd kan AI organisaties helpen aanvallen eerder te herkennen, systemen te beschermen en gestolen cryptovaluta op te sporen.

Een ransomware-aanval verloopt vaak in vijf stappen. Hackers krijgen eerst toegang tot een computer, meestal via gestolen inloggegevens, phishing of misbruik van softwarekwetsbaarheden. Daarna bewegen ze zich door het netwerk op zoek naar beheerdersrechten, gevoelige informatie en back-ups. Vervolgens stelen en versleutelen ze gegevens, waarna ze het slachtoffer afpersen met de belofte bestanden te herstellen of gestolen informatie niet openbaar te maken. Uiteindelijk wordt het losgeld doorgaans in cryptovaluta betaald en witgewassen.

Niet iedere aanval doorloopt het volledige proces. Sterke cyberhygiëne, meervoudige authenticatie, goede back-ups en snelle detectie kunnen aanvallers al vroeg tegenhouden. De recente aanvallen op onder meer telecombedrijf Odido en de medische laboratoria van Clinical Diagnostics laten volgens Shortland zien dat beveiliging en gegevensbeheer nog tekortschieten. Bij de Britse supermarktketen Co-op werd verdachte activiteit kort na een frauduleuze wachtwoordreset ontdekt, terwijl Marks & Spencer de aanvallers twee dagen onopgemerkt hun netwerk liet verkennen.

AI maakt phishing overtuigender doordat criminelen berichten in iedere taal kunnen schrijven, openbare informatie automatisch kunnen verwerken en stemmen kunnen nabootsen. Daardoor kunnen zij zich voordoen als een collega, klant of hulpverlener. Ook kunnen AI-systemen softwarefouten opsporen en kwetsbare netwerken sneller binnendringen. Shortland verwijst naar Anthropic’s Claude Mythos, een in 2026 gepresenteerd systeem dat razendsnel kwetsbaarheden in financiële systemen kon vinden. Hoewel het bedrijf het programma gecontroleerd beschikbaar stelde aan kritieke organisaties, vreest zij dat vergelijkbare technologie uiteindelijk ook bij minder ervaren criminelen terechtkomt.

Nadat hackers toegang hebben verkregen, kan AI helpen bij het in kaart brengen van netwerken en het lokaliseren van waardevolle bestanden en back-ups. Aan de verdedigende kant kan dezelfde technologie afwijkend gedrag signaleren voordat gegevens worden gestolen of versleuteld. In de afpersingsfase kunnen criminelen AI gebruiken om financiële informatie, verzekeringspolissen en gestolen dossiers te analyseren en zo de druk op slachtoffers te vergroten. Vooral ziekenhuizen, laboratoria en klinieken voor seksuele gezondheid zijn aantrekkelijk, omdat uitval grote gevolgen heeft en medische gegevens zeer gevoelig zijn. AI kan bovendien de meest kwetsbare personen selecteren voor gerichte phishing.

Cryptovaluta maken ransomware volgens Shortland winstgevend en relatief anoniem, maar transacties blijven zichtbaar op de blockchain. Als slachtoffers betalingen melden, kunnen opsporingsdiensten met AI geldstromen en digitale aliassen volgen. In sommige gevallen kunnen zij cryptovaluta in beslag nemen, zoals grotendeels gebeurde met het losgeld na de aanval op Colonial Pipeline.

De grootste zorg is dat AI mensen met weinig technische kennis in staat stelt vanuit huis ransomware-aanvallen uit te voeren. Tegelijkertijd kunnen ondeskundige aanvallers systemen onherstelbaar beschadigen door bestanden te wissen of ondeugdelijke versleuteling te gebruiken. Als krachtige AI-hacktools op grotere schaal beschikbaar komen, kan een golf van afpersingen ontstaan waarvoor de samenleving volgens Shortland onvoldoende is voorbereid. Ook vijandige staten kunnen ransomwarecollectieven en AI-gestuurde aanvallers inzetten tegen westerse infrastructuur.

Shortland pleit daarom voor gezamenlijke verantwoordelijkheid van burgers, bedrijven, overheden en toezichthouders. Mensen moeten verdachte berichten en telefoontjes controleren voordat zij gegevens delen. Organisaties moeten extra beveiligingslagen, zoals multifactorauthenticatie, invoeren, afwijkend gedrag snel detecteren en betrouwbare back-ups bewaren. Daarnaast moeten bedrijven zo min mogelijk persoonsgegevens verzamelen en die niet langer opslaan dan nodig. De naleving van de AVG schiet volgens haar in de praktijk tekort; organisaties moeten ook verantwoordelijk worden gehouden voor gegevens die zij onnodig bewaren. De kans om zich tegen AI-gedreven ransomware te wapenen wordt volgens Shortland steeds kleiner.