Ransomwareherstel klinkt als een reddingsboei: eerst kom je de aanval te boven, daarna probeer je bestanden weer toegankelijk te maken. Maar in een recente zaak blijkt die belofte mogelijk misbruikt te worden met fake decryptietools. Een ondernemer uit de VS wordt vervolgd omdat hij klanten zou hebben opgelicht in een schema dat zich voordeed als legitieme decryptie-dienst.
De kern van het verhaal is eenvoudig en tegelijk zorgwekkend: volgens de aanklacht bestond de “alternatief voor losbetaling”-strategie niet zoals die werd verkocht. In plaats daarvan zou de verdachte ransoms hebben betaald, de decryptiesleutels hebben verkregen en vervolgens opnieuw kosten hebben gerekend aan slachtoffers.
Wat is er aan de hand in het ransomwareherstel-scenario?
De verdachte, Zohar Pinhasi (50), staat in de aanklacht als eigenaar van MonsterCloud. Hij wordt ook genoemd onder aliassen. In een procedure in New York staat hij terecht voor vermoedelijke wire fraud en samenzwering daartoe.
Volgens de aanklacht vertelde hij klanten die waren getroffen door ransomware dat MonsterCloud hen kon helpen om hun data te herstellen zonder de aanvallers te betalen. Daarbij zou hij hebben benadrukt dat zijn organisatie over eigen, propriëtaire tooling en geavanceerde decryptietechnieken beschikte.
De rol van fake decryptietools
De claim ging dus verder dan alleen “adviseren wat je moet doen”. De verdachte zou namelijk hebben gezegd dat zijn partij ransomware kon decrypteren, zodat slachtoffers hun bestanden konden terugkrijgen zonder betaling aan de daders. Dat beeld staat in contrast met wat er volgens het Openbaar Ministerie werkelijk gebeurde.
In de beschrijving van het schema worden de stappen als volgt geschetst: in plaats van zelf een decryptie op basis van eigen technieken te doen, zou de verdachte contact hebben gezocht met de ransomwaregroepen die de slachtoffers hadden aangevallen. Daarna zou hij ransoms hebben betaald om decryptiesleutels te krijgen. Vervolgens zou hij slachtoffers kosten hebben aangerekend wanneer zij die sleutel moesten gebruiken om hun data terug te halen.
Met andere woorden: de “decryptietools” en het idee dat de oplossing geen losgeld vereiste, lijken in deze lezing niet te kloppen. Dat is precies waarom dit in de praktijk gezien kan worden als een vorm van fraude met fake decryptietools.
Hoe verliep het betalingsmodel volgens de aanklacht?
Een van de concrete onderdelen uit de aanklacht draait om een voorbeeldcase. Daarin zou een ransombetaling van ongeveer $8.200 zijn gedaan aan een ransomware-affiliate. Daarna zou de verdachte het slachtoffer ongeveer $150.000 hebben gefactureerd voor het gebruik van de decryptiesleutel om de data te herstellen.
Door het hele schema heen zou het volgens de aanklacht om meer dan $8 miljoen aan ransoms gaan die zijn betaald, terwijl klanten gezamenlijk boven de $19 miljoen zouden hebben betaald voor de “remediation” die werd aangeboden.
De aantijging is dus niet alleen dat slachtoffers geld verloren. Volgens de aanklacht is de schade ook dubbel: eerst is er de ransomware-aanval, en vervolgens volgt opnieuw een financiële klap doordat de dienstverlening niet zou leveren wat is beloofd.
Waarom dit zo belangrijk is voor organisaties
Voor security- en IT-teams is ransomwareherstel vaak een tijdkritisch proces. Slachtoffers willen snel weten: kunnen we decrypten, kunnen we herstellen, en moeten we betalen? Daarom is transparantie rond de aanpak cruciaal.
Wanneer aanbieders beweren dat ze zonder losgeld kunnen ontsleutelen, ontstaat er een extra risico: slachtoffers kunnen hun eigen due diligence verlagen of sneller beslissen om hoge kosten te accepteren. Zeker wanneer er druk ontstaat om systemen weer operationeel te krijgen.
Deze zaak laat zien dat “alternatieven voor losbetaling” in de praktijk meerdere vormen kan hebben. Niet elk alternatief is technisch of operationeel haalbaar — en niet elke claim is per definitie betrouwbaar.
Signalen die kunnen wijzen op misleiding
Geen enkel checklistje kan garanties geven, maar organisaties kunnen wel waakzamer worden op patronen die passen bij frauduleuze claims. Denk bijvoorbeeld aan:
- Te mooie beloften (“zonder betaling decrypten bij elk incident”, zonder duidelijke voorwaarden).
- Oncontroleerbare technische onderbouwing of het ontbreken van verifieerbare details over methode en resultaten.
- Vergoeding op basis van sleutelgebruik waarbij het verhaal vooral draait om de facturatie en minder om het reproduceerbare herstelproces.
- Onjuiste framing waarbij slachtoffers worden gewaarschuwd om niet te betalen, maar waarbij de aanpak volgens de aanklacht toch neerkomt op ransombetalingen.
Als je team in zo’n situatie twijfelt, is het verstandig om naast incident response ook juridische en contractuele aandacht in te schakelen. Zo voorkom je dat herstelkosten escaleren terwijl de beloofde oplossing niet klopt.
Wat zegt de vervolging over het effect op slachtoffers?
In de toelichting vanuit het strafrechtelijke traject wordt benadrukt dat de beschuldiging niet alleen gaat over het aanbieden van een “alternatief” voor losbetaling. Volgens de aanklacht zou de verdachte juist slachtoffers opnieuw hebben benadeeld door extra fraude te plegen.
Dat perspectief is relevant: ook wanneer een ransomwarehersteltraject technisch interessant lijkt, kan het menselijk en financieel effect groot zijn als de dienstverlening misleidend is. Voor slachtoffers betekent dat vaak extra tijdsverlies, hogere kosten en extra onzekerheid over de haalbaarheid van herstel.
Vergelijkbare aandachtspunten: blijf scherp op ransomware-diensten
Ransomware blijft een domein waar criminelen en opportunisten elkaar kunnen versterken. In andere berichtgeving op deze site komt bijvoorbeeld naar voren dat aanvallers ook via digitale omwegen proberen binnen te komen of controle te krijgen. Zie bijvoorbeeld het artikel over het misleiden van security tooling door kwaadaardige achterdeuren in de omgeving van e-mailbeveiliging: Bron: https://www.securityweek.com/fake-decryption-tools-masked-11m-markup-in-ransomware-recovery-scheme/
