Het datalek bij Odido – een toets voor kernwaarden en risicohouding in een crisissituatie

12 februari j.l. werd bekendgemaakt dat Odido getroffen is door een datalek. Enkele weken later plaatsten de verantwoordelijke criminelen een eerste pakket met gestolen data online, ze dreigden dit iedere dag te blijven doen totdat Odido betaalde. Odido is niet ingegaan op de eisen. Sinds zondag 1 maart staan alle gestolen data online. Wat zou tot die keuze hebben kunnen leiden? In dit artikel gaan we in op die vraag en hoe de keuze afhangt van de strategie en risicohouding van een organisatie.

Cybersecurity is en blijft een van de meest urgente en dreigende risico’s waar bedrijven met een groot bestand aan kwetsbare gegevens mee te kampen hebben. De globale en Europese risico-rapporten hebben cyberrisico structureel zeer hoog staan, het Risk in Focus rapport van de European Confederation of Institutes of Internal Auditing (ECIIA) zet cyber zelfs al jaren op nummer één. Een reden daarvoor is dat je het nooit geheel kan vermijden. Er wordt veel gedaan om het aantal datalekken significant te verminderen, maar individuele systemen blijven kwetsbaar. Er hoeft maar één zwakke plek gevonden te worden, zoals bij Odido, en de gegevens van miljoenen mensen komen op straat te liggen. Een dergelijk voorval is een ernstige klap voor de reputatie, waarbij veel moet gebeuren in de respons om verdere schade te beperken.

In deze analyse Amerikaans cybersecuritybedrijf Unit221b met meer details over de hackers wordt ook aangegeven dat dit soort cyberaanvallen de laatste tijd steeds vaker voorkomen, wat des te meer reden geeft om voorbereid te zijn. Niet alleen op gebied van databeveiliging, maar ook in het geval van een succesvolle inbraak.

Besluitvorming in een crisissituatie

Zover bekend is hebben de hackers een som losgeld van zeven cijfers geëist om de gestolen data niet te publiceren. Een bedrijf als Odido moet intern, afhankelijk van hun beleid wellicht met behulp van ingevlogen cybersecurity experts, een besluit vormen. Om tot dat besluit te komen moet het verantwoordelijke team bepaalde informatie zien te achterhalen.

• Welke data hebben de hackers kunnen bemachtigen?
• Zijn er nog zwakke plekken die voor verdere lekken kunnen zorgen?
• Zijn de hackers ‘betrouwbaar’, ofwel wat is de kans dat ze de gelekte informatie daadwerkelijk verwijderen?

Met deze informatie moet het bedrijf bij zichzelf te rade gaan. Waar trek je een morele grens als het gaat om onderhandelen met cybercriminelen? Ben je bereid om hun verdienmodel in stand te houden om hopelijk de privégegevens van je klanten te redden? De kosten en baten van deze afweging laten zich niet gemakkelijk grijpen, maar toch moet er een keuze worden gemaakt, in dit geval binnen 72 uur.

Een morele kosten-batenanalyse

De complexiteit van een dergelijk dilemma vraagt om verder te kijken dan de directe consequenties van de ene of andere keuze. Dit wordt ook wel second-order thinking genoemd, en kan als volgt worden uitgelegd. Het beoogde gevolg van betalen is dat de data van klanten voorlopig niet gepubliceerd worden. Dat doel is echter niet alleen onzeker maar ook oppervlakkig. Een keuze enkel gebaseerd hierop is precies de ondoordachte beslissing waar de hackers naar op zoek zijn. Het niet in acht nemen van de secundaire gevolgen, ofwel een gebrek aan second-order thinking, is volgens dit artikel een van de meest voorkomende oorzaken voor slechte beslissingen. Juist in hogedruksituaties als het datalek is het je taak als risicomanager om het hoofd koel te houden en vooruit te blijven kijken zodat er een strategisch verantwoorde beslissing gemaakt kan worden.

Door met een bewuste focus op second-order thinking naar het dilemma te kijken, kunnen de lange-termijn effecten en indirecte gevolgen van losgeld betalen overwogen worden. Daarna kunnen die gevolgen geëvalueerd worden met oog op de risicohouding van het bestuur bij Odido. Na betaling kunnen bijvoorbeeld:

• De hackers alsnog doorgaan met dreigementen en aanvullende eisen
• De hackers met hun succes aandacht krijgen in de media
• De hackers met het losgeld nieuwe aanvallen en andere misdaden financieren
• Meer cybercriminelen dezelfde tactieken toe gaan passen

Dit maakt de kosten-batenanalyse zeer ingewikkeld. De gevolgen zijn onvoorspelbaar en de kosten zijn niet gemakkelijk te kwantificeren. De financiële kosten zijn bijzaak, het zijn eerder de schade aan reputatie en de morele waarden die je er als bedrijf op nahoudt die doorslaggevend zijn. Kan je er als bedrijf achter staan om het verdienmodel van de hackers in stand te houden? Wie zijn deze hackers eigenlijk, en hoe kunnen we ze vertrouwen?

De hackersgroep verantwoordelijk voor de inbreuk bij Odido gebruikt de naam ‘ShinyHunters’, hackers die deze naam gebruikte hebben eerder gegevens buitgemaakt bij onder andere Microsoft en Ticketmaster – bedrijven die voor hun bestaansrecht afhankelijk zijn van sterke beveiliging. Dat dit dezelfde criminelen zijn is echter niet zeer waarschijnlijk. ShinyHunters is niet één criminele organisatie maar eerder een losse online gemeenschap die informatie en tactieken uitwisselt. Hiermee is er weinig bekend over de daders en hun betrouwbaarheid.

Geen pasklare oplossing

Volgens cybersecurity-experts bestaat er geen pasklare oplossing over hoe organisaties met dit soort eisen moeten omgaan. Overheden en opsporingsdiensten adviseren doorgaans om geen losgeld te betalen, omdat dit het verdienmodel van cybercriminelen in stand houdt en geen garantie biedt dat systemen of data daadwerkelijk worden hersteld. Tegelijkertijd wijzen andere experts erop dat de beslissing uiteindelijk een bedrijfsafweging is. In situaties waarin kritieke systemen langdurig uitvallen, gegevens dreigen te lekken die mensen in gevaar kunnen brengen of de continuïteit van de organisatie op het spel staat, kan betaling in sommige gevallen als een pragmatische optie worden gezien.

Daarmee ontstaat een dilemma waarin geen universeel juiste keuze bestaat. Sommige organisaties kiezen principieel voor een ‘no-pay’ beleid om het criminele ecosysteem niet te versterken, terwijl anderen juist prioriteit geven aan het beperken van directe schade voor klanten, patiënten of bedrijfscontinuïteit. In de praktijk blijkt de beslissing daarom zelden puur technisch of juridisch, maar vooral een strategische en morele afweging die nauw samenhangt met de risicohouding en kernwaarden van een organisatie.

De keuze van Odido

Odido heeft op 26 februari jl. via een officieel statement op de website kenbaar gemaakt ervoor te hebben gekozen om – op aanraden van cybersecurityadviseurs en overheidsinstanties waaronder de politie – het losgeld voor hun data niet te betalen.

Het datalek bij Odido laat zien dat cyberincidenten niet alleen een bedreiging voor de reputatie en klantveiligheid zijn, maar organisaties ook voor een strategisch en ethisch dilemma zetten. Absolute veiligheid bestaat niet. Dit kan dan ook geen ad-hoc beslissing zijn voor organisaties. In de meeste gevallen ligt de basis al vast in beleid rond cyberincidenten, risicobereidheid en crisismanagement.

Stel uzelf de vragen: ‘Wat als mijn organisatie geraakt wordt door een cyberaanval zoals Odido? Zijn we dan zeker dat het bestaande beleid voldoende handvatten biedt om hiermee om te gaan? Hebben wij al geoefend met een afweging van de verschillende belangen van klanten, van de organisatie, de samenleving en zelfs van de hackers? Wat als we echt geen keuze hebben behalve betalen? Bijvoorbeeld als je echt niet kunt werken zonder de gestolen data terug te krijgen. Wat mag/moet dan wettelijk gezien? Wat kunnen we dan van hackers verwachten, en welke uitdagingen zal dat opleveren voor onze communicatie en crisismanagement?’ Door te oefenen met scenario’s waar deze vragen moeten worden beantwoord kan een organisatie haar risicobereidheid rondom dit thema expliciet uitwerken. Die risicobereidheid wordt vervolgens meegenomen in een governance inrichting die een organisatie echt ondersteunt mocht deze situatie zich onverhoopt voordoen.