Onderhandelaar Geert Baudewijns: Hackersgroepen hebben er belang bij betrouwbaar te zijn
In dit artikel:
De telecomaanbieder Odido is recent slachtoffer geworden van een grootschalige datadiefstal; hackersgroep Shinyhunters eist volgens RTL deze week een 'bedrag met zeven cijfers' en dreigt geroofde gegevens donderdag op het darkweb te publiceren. De Belgische onderhandelaar en auteur Geert Baudewijns, die al jaren namens getroffen organisaties met cyberafpersers praat (hij schreef in 2024 het boek Onderhandelen in het duister), reageert relatief nuchter op die deadline: laat je niet meeslepen door emotie en gun jezelf tijd om rationeel te kiezen.
Baudewijns legt uit dat criminelen vóór een ultimatum zelden concessies doen, maar dat de kans op een lagere eis aanzienlijk stijgt na het verstrijken van zo’n deadline. Praktisch voorbeeld: een aangekondigde eis van circa één miljoen euro kan in onderhandelingen vaak teruggebracht worden tot bijvoorbeeld 250.000 euro. Hij waarschuwt wel dat afpersers eventueel alvast stukjes data kunnen lekken om druk te vergroten en dat Odido de kosten tegen de risico’s moet afwegen — onder meer omdat gedupeerde klanten mogelijk schadeclaims kunnen indienen.
Hoewel Baudewijns toegeeft dat losgeld betalen moreel problematisch is, ziet hij het vaak als de snelste manier om uit een crisissituatie te komen; betalende groepen leveren doorgaans de beloofde ontsleutelingssleutel. Dat staat echter haaks op het standpunt van de Autoriteit Persoonsgegevens en de politie, die aanraden nooit te betalen omdat dat het criminele verdienmodel in stand houdt. Cybersecurity-collega Floris de Koning bevestigt dat betalingen vaak gevolgd worden door de overeengekomen teruglevering.
Verder waarschuwt Baudewijns voor copycats: door de publiciteit rond Odido kunnen andere groepen zich melden of doen alsof zij de daders zijn. Bedrijven moeten daarom eisen dat afpersers bewijzen tonen dat zij daadwerkelijk over de gestolen data beschikken. Wat opsporing betreft: Europol heeft in delen van Oost-Europa al arrestaties gedaan, maar de algehele slagkracht tegen cybercriminelen blijft beperkt.