Het 2024 Ransom­ware Report van Check Point Software Techno­lo­gies toont aan dat in 2024 wereld­wijd 5.414 ransom­ware-aanvallen zijn uitge­voerd op organi­sa­ties, een stijging van 11% ten opzichte van vorig jaar. 2024 zag de opkomst van 95 actieve ransom­ware-groepen, een toename van 40% ten opzichte van 2023. Van deze nieuwe groepen maakte de ransom­wa­re­groep FunkSec, waarvan de opera­toren lijken gebruik te maken van AI-onder­steunde malwa­re­ont­wik­ke­ling, al meer dan 85 slacht­of­fers in december 2024 alleen. 

Terwijl 2024 begon met een afname in ransom­ware-activi­teit tijdens Q1, steeg de frequentie van de aanvallen in Q2 en bleef stijgen tijdens de rest van het jaar. Dit culmi­neerde in een drama­ti­sche piek in Q4, met 1.827 incidenten – 33% van alle ransom­ware-aanvallen van het jaar, waarmee dit het meest actieve kwartaal was. Dit kan groten­deels worden toege­schreven aan het ontstaan van veel nieuwe groepen door het uiteen­vallen van bepaalde ervaren groepen. Dit zorgde ervoor dat leden met ervaring profes­si­o­nele nieuwe groepen vormden, wat leidde tot een piek in aanvallen. Dit jaar resul­teerden wette­lijke acties tegen grote ransom­ware-opera­ties zoals LockBit in februari 2024 in arres­ta­ties, onthul­lingen van de identi­teit van groeps­lei­ders en de inbeslag­name van cyber­cri­mi­nele infrastructuur.

Exponentiële opkomst van nieuwe groepen

Het aanpakken van grote ransom­ware-groepen leidde tot hun versplin­te­ring, waardoor de concur­rentie tussen kleinere ransom­ware-bendes toenam en andere dreigings­ac­toren konden opvallen. Deze verschui­ving is duide­lijk zicht­baar in de opkomst van 95 actieve ransom­ware-groepen in 2024, een toename van 40% ten opzichte van de 68 groepen die actief waren in 2023.

---

---

Onder de 46 nieuwe groepen die opdoken, viel RansomHub op als een dominante kracht, die zelfs het geves­tigde LockBit in activi­teit overtrof. Deze nieuw­ko­mers, zoals FOG, Lynx, APT73 en Eldorado, hebben het dreigings­land­schap een nieuwe vorm gegeven en nemen een steeds groter deel van de ransom­ware-incidenten voor hun rekening. Met name de top 10 groepen waren verant­woor­de­lijk voor 52,8% van de aanvallen, wat zowel de invloed van nieuw­ko­mers als een afname in de dominantie van oudere groepen benadrukt. De combi­natie van geves­tigde leiders zoals RansomHub, LockBit, Play, Akira, IncRansom en Medusa, naast de opkomst van nieuwe groepen, had verwoes­tende gevolgen voor wereld­wijde organi­sa­ties, met finan­ciële verliezen en verstoorde activiteiten. 

FunkSec – AI-gestuurde Ransoware-as-a-Service (RaaS)

De FunkSec ransom­ware-groep dook voor het eerst op in het openbaar eind 2024 en werd snel bekend door het publi­ceren van meer dan 85 geclaimde slacht­of­fers (voorna­me­lijk in de VS, India en Europa) – meer dan elke andere ransom­ware-groep in de maand december. FunkSec presen­teert zichzelf als een nieuwe RaaS-operatie en geeft de voorkeur aan dubbele afper­sings­tac­tieken, waarbij gegevens­dief­stal wordt gecom­bi­neerd met versleu­te­ling om slacht­of­fers onder druk te zetten losgeld te betalen. FunkSec lijkt geen bekende connec­ties te hebben met eerder geïden­ti­fi­ceerde ransom­ware bendes. De meeste kernac­ti­vi­teiten van FunkSec worden waarschijn­lijk uitge­voerd door onervaren spelers, met onder­steu­ning van AI. Daarnaast is het moeilijk om de authen­ti­ci­teit van de gelekte infor­matie te verifi­ëren, omdat het voornaamste doel van de groep lijkt te zijn om zicht­baar­heid en erken­ning te krijgen. Boven­dien heeft FunkSec banden met hackti­vis­ti­sche activi­teiten, met leden die actief zijn in Algerije. Dit benadrukt de steeds vager wordende grens tussen hackti­visme en cyber­cri­mi­na­li­teit, en de uitda­gingen om het ene van het andere te onderscheiden.

VS grootste slachtoffer als land, zakelijke dienstverlening als sector

De VS bleef het meest aange­vallen bleef, met 936 ransom­ware-aanvallen binnen de lands­grenzen. In de top 10 landen die het doelwit zijn van ransom­ware staan echter ook veel Europese landen, zoals Duits­land en Frankrijk.

Met betrek­king tot secto­rale doelwitten bleef de sector zakelijke dienst­ver­le­ning het zwaarst getroffen worden door ransom­ware-aanvallen, een afspie­ge­ling van de trends van 2023, met 451 geregi­streerde aanvallen, gevolgd door de detail­handel en daarna de produc­tie­sector, die een aanzien­lijke toename van ransom­ware-activi­teit zag in de laatste drie maanden van het jaar met 201 incidenten in het vierde kwartaal, wat aangeeft dat ransom­ware-exploi­tanten zich meer op deze sector richten. De bouwsector zou een groei­ende bron van zorg moeten zijn, aange­zien ransom­ware-incidenten in 2024 met 50% stegen ten opzichte van 2023. Door deze stijging steeg de bouwsector naar de vierde plaats, waarmee de finan­ciële sector, het onder­wijs en de gezond­heids­zorg, die in 2023 hoger scoorden, werden ingehaald.

“Het business model van Ransom­ware-as-a-Service heeft de grootste verschui­ving teweeg­ge­bracht in het landschap; het heeft ransom­ware gedemo­cra­ti­seerd, waardoor zelfs begin­nende bedrei­gers geavan­ceerde aanvallen kunnen uitvoeren. Groepen als RansomHub, die als dominante speler naar voren kwam met 531 aanvallen, zijn een voorbeeld van de kracht van dit model”, verklaart Zahier Madhar, security engineer expert bij Check Point. “Daarnaast zien we ook een duide­lijke fragmen­tatie van ransom­wa­re­groepen. Het verdwijnen van de grote spelers heeft kleinere, flexi­bele groepen aange­spoord om de leegte op te vullen, wat heeft geleid tot meer concur­rentie en innovatie. 2024 toonde ons ook dat steeds meer bedrei­gers zich richten zich op Linux- en VMware ESXi-systemen, omdat ze hun kritieke rol in bedrijfs­om­ge­vingen erkennen. Daarnaast maken ze gebruik van cloud­ge­ba­seerde tools voor datadief­stal en maken ze gebruik van AI om de aanvals­doel­tref­fend­heid te vergroten.”

“Met deze toene­mende ransom­ware-aanvallen is het noodza­ke­lijk dat organi­sa­ties een proac­tieve, gelaagde aanpak van cyber­be­vei­li­ging hanteren. Denk hierbij aan geavan­ceerde dreigings­de­tectie, patch manage­ment en een gezamen­lijke verde­di­ging waarbij organi­sa­ties samen­werken met sector­ge­noten en wetge­vende instan­ties om infor­matie te delen en de collec­tieve bevei­li­ging te versterken.”