De Amerikaanse Department of Justice (DoJ) heeft aanklachten aangekondigd tegen de eigenaar van MonsterCloud ransomware. Volgens het Openbaar Ministerie zou hij ransomware-slachtoffers hebben misleid door te doen alsof hij data kon herstellen met “proprietary tools” en “geavanceerde decryptietechnieken”, terwijl hij in werkelijkheid stiekem met aanvallers zou hebben onderhandeld om een decryptor te krijgen.
Het verhaal is niet alleen relevant vanwege ransomware zelf, maar ook vanwege de rol van “incident response”-diensten en de risico’s van ondoorzichtige beloftes. In dit artikel zetten we de kern van de beschuldigingen op een rij en wat dit in de praktijk betekent voor organisaties die met gijzelsoftware worden geconfronteerd.
Wat is er volgens het DoJ gebeurd?
Het DoJ meldt dat een 50-jarige man, met een Amerikaanse en Israëlische nationaliteit, is aangeklaagd. Hij zou twee feiten van draadfraude en één keer samenspanning tot draadfraude hebben gepleegd. Bij een veroordeling kan hij volgens de aankondiging tot twintig jaar gevangenisstraf per telastelegging krijgen.
Volgens de aanklacht trad hij op als eigenaar en exploitant van een Florida-bedrijf dat onder de naam MonsterCloud actief was. Slachtoffers zouden benaderd zijn met een verhaal dat de decryptie zonder losbetaling mogelijk zou zijn via “specialized” en “advanced decryption” methodes.
De kern van de beschuldigingen: “decryptie” zonder remediatie
Volgens het DoJ claimde de verdachte tegenover klanten dat hij ransomware kon “oplossen” zonder het losgeld te betalen. Hij zou zelfs hebben gesteld dat hij geavanceerde technieken en technologie had waarmee versleutelde data kon worden teruggezet.
Maar volgens de beschrijving van het Openbaar Ministerie bestonden die specifieke tools niet zoals geclaimd. In plaats daarvan zou hij contact hebben opgenomen met de cybercriminelen en vervolgens een betaling hebben gedaan in ruil voor een decryptor.
De aankondiging gebruikt daarbij expliciet het beeld van “re-victimizing”: door een verkeerd scenario te schetsen aan slachtoffers, zou hij hen opnieuw hebben benadeeld, terwijl hij er volgens de autoriteiten zelf aan verdiende.
MonsterCloud ransomware: hoe de marketingboodschap volgens het DoJ botst met de praktijk
In de informatie over de zaak wordt verwezen naar uitspraken die op de website van MonsterCloud zouden staan. Daarin zou het bedrijf ransomware-betalingen ontmoedigen en benadrukken dat betalen geen garantie biedt en vooral het gedrag van aanvallers stimuleert.
Ook zou er een Q&A op de site hebben gestaan over de vraag of het bedrijf namens cliënten losgeld betaalt. Volgens de aankondiging gaf MonsterCloud aan dat het “sterk” adviseert om zelf geen losgeld te betalen, maar dat het—afhankelijk van de situatie—“andere middelen” kan inzetten.
Volgens het DoJ zouden er echter geen speciale decryptietools aanwezig zijn. De verdachte zou zich volgens de aanklacht wenden tot de aanvallers en betalen voor een decryptor. In die context ontstaat dus een duidelijke spanning tussen wat er publiekelijk wordt beloofd en wat er volgens het Openbaar Ministerie daadwerkelijk gebeurt.
Losgeld betalen, maar dan “stiekem”: bedragen en voorbeelden
De aanklacht bevat concrete voorbeelden van betalingen en facturatie. In één geval (in augustus 2023) zou de verdachte ongeveer $8.200 aan een threat actor hebben betaald. Tegelijkertijd zou hij aan de klant ongeveer $150.000 hebben gefactureerd.
In een ander incident (ergens in of rond oktober 2021) zou er ongeveer $236.000 zijn betaald aan de aanvallers, terwijl de klant volgens de aankondiging ongeveer $380.000 werd aangerekend.
Alles bij elkaar beschuldigt men de verdachte ervan cliënten meer dan $19 miljoen in rekening te hebben gebracht en bovendien meer dan $8 miljoen te hebben betaald aan losgeld. De implicatie: de dienstverlening zou volgens het DoJ niet alleen misleidend zijn geweest, maar ook financieel onevenredig.
Waarom dit security teams raakt
Deze zaak is extra relevant voor organisaties die getroffen worden door ransomware, omdat incident response vaak snel en onder druk gebeurt. Als een partij zich presenteert als specialist die belooft dat decryptie mogelijk is zonder losgeld, kan dat beslissingen beïnvloeden: wie contact opneemt met wie, welke scenario’s worden onderzocht en welke communicatie naar stakeholders loopt.
Daarbij komt het bredere risico van afhankelijkheid. Als een dienstverlener claimt dat er “proprietary” methodes zijn, is de vraag: hoe controleerbaar is dat? In de praktijk wil je vooral helderheid over wat er precies gebeurt, op basis waarvan, welke data wordt gedeeld, en welke uitkomsten wel of niet onderbouwd zijn.
Wat kun je doen als je met ransomware te maken krijgt?
Hoewel de aanklacht specifiek gaat over MonsterCloud ransomware, zijn de lessen breder. Je wilt voorkomen dat je in een gekleurd verhaal terechtkomt dat niet hard te maken is.
- Vraag om onderbouwing: laat zien op welke technische basis decryptie of herstel wordt verwacht, en welke stappen daarvoor nodig zijn.
- Maak afspraken over transparantie: wie neemt contact op met aanvallers, hoe wordt dat vastgelegd, en wat wordt er aan jullie gerapporteerd?
- Bewaar het incidentmanagement spoor: documenteer beslissingen, tijdslijnen en communicatie. Dat helpt ook bij juridische of verzekeringsvragen.
- Overweeg meerdere adviezen: als de situatie het toelaat, laat een tweede partij meekijken naar de plausibiliteit van claims.
Ook is het verstandig om te onthouden dat “decryptie” niet automatisch betekent dat de dreiging volledig is verwijderd. In de aankondiging van het DoJ wordt precies dat punt benadrukt: het zou niet gaan om het aanpakken van de onderliggende oorzaak, maar om het oppakken van de crisis voor winst.
Relatie met eerdere security-ontwikkelingen
In het bredere landschap zien we vaker dat aanvallen niet ophouden bij encryptie. Soms verschuift het dreigingsmodel naar misleiding, doorverwijzing of het uitbuiten van vertrouwenssignalen.
Zo verscheen er op de site eerder over incidenten waarbij aanvallers via digitale afhankelijkheden of technische tekortkomingen slachtoffers konden misleiden, zoals aanvallers die ccTLD DNS misbruiken voor valse Google-certificaten. Dergelijke patronen onderstrepen dat cybercrime vaak draait om vertrouwen: wat mensen denken dat waar is, en welke stappen ze daardoor zetten.
Ook relevant: wanneer AI- en automatiseringspartijen betrokken zijn bij security-werkzaamheden, neemt de behoefte aan governance en controle toe. Over dat spanningsveld wordt eveneens elders op de site geschreven, bijvoorbeeld in een stuk over MCP server-risico’s en het ontbreken van governance.
Conclusie
De aanklachten rond MonsterCloud ransomware schetsen een scenario waarin “gespecialiseerde decryptietechnieken” volgens het DoJ niet de werkelijke kern vormden. In plaats daarvan zou de verdachte stiekem losgeld hebben betaald om een decryptor te verkrijgen, terwijl slachtoffers het tegenovergestelde werd verteld—en hij tegelijkertijd fors meer zou hebben gefactureerd.
Voor organisaties betekent dit vooral: wees extra kritisch op claims tijdens een stressvolle ransomware-aanval. Transparantie, controleerbare onderbouwing en strakke documentatie helpen om beslissingen beter te kunnen verantwoorden en om risico’s van misleiding te beperken.
Bron: https://thehackernews.com/2026/10/monstercloud-owner-accused-of-billing.html
