Stijging ransomware aanvallen door versplintering criminelen
In 2024 zijn wereldwijd 5.414 ransomwareaanvallen zijn uitgevoerd op organisaties, een stijging van 11 procent ten opzichte van vorig jaar. 2024 zag de opkomst van 95 actieve ransomware-groepen, een toename van 40 procent ten opzichte van 2023. Van deze nieuwe groepen maakte de ransomwaregroep FunkSec, waarvan de operatoren lijken gebruik te maken van AI-ondersteunde malwareontwikkeling, al meer dan 85 slachtoffers in december 2024 alleen. Dat blijkt uit het Ransomware Report van Check Point Software Technologies.
Terwijl 2024 begon met een afname in ransomware-activiteit tijdens het eerste kwartaal, steeg de frequentie van de aanvallen in het tweede kwartaal en bleef stijgen tijdens de rest van het jaar. Dit culmineerde in een dramatische piek in het vierde kwartaal, met 1.827 incidenten – 33 procent van alle ransomware-aanvallen van het jaar, waarmee dit het meest actieve kwartaal was.
Dit kan grotendeels worden toegeschreven aan het ontstaan van veel nieuwe groepen door het uiteenvallen van bepaalde ervaren groepen. Dit jaar resulteerden wettelijke acties tegen grote ransomware-operaties zoals LockBit in februari 2024 in arrestaties, onthullingen van de identiteit van groepsleiders en de inbeslagname van cybercriminele infrastructuur.
Het aanpakken van grote ransomware-groepen leidde tot hun versplintering, waardoor de concurrentie tussen kleinere ransomware-bendes toenam en andere dreigingsactoren konden opvallen. Deze verschuiving is duidelijk zichtbaar in de opkomst van 95 actieve ransomware-groepen in 2024, een toename van 40 procent ten opzichte van de 68 groepen die actief waren in 2023.
Onder de 46 nieuwe groepen die opdoken, viel RansomHub op als een dominante kracht, die zelfs het gevestigde LockBit in activiteit overtrof. Deze nieuwkomers, zoals FOG, Lynx, APT73 en Eldorado, hebben het dreigingslandschap een nieuwe vorm gegeven en nemen een steeds groter deel van de ransomware-incidenten voor hun rekening.
Met name de top 10 groepen waren verantwoordelijk voor 52,8 procent van de aanvallen, wat zowel de invloed van nieuwkomers als een afname in de dominantie van oudere groepen benadrukt. De combinatie van gevestigde leiders zoals RansomHub, LockBit, Play, Akira, IncRansom en Medusa, naast de opkomst van nieuwe groepen, had verwoestende gevolgen voor wereldwijde organisaties, met financiële verliezen en verstoorde activiteiten.
De FunkSec ransomware-groep dook voor het eerst op in het openbaar eind 2024 en werd snel bekend door het publiceren van meer dan 85 geclaimde slachtoffers (voornamelijk in de VS, India en Europa) – meer dan elke andere ransomware-groep in de maand december. FunkSec presenteert zichzelf als een nieuwe RaaS-operatie en geeft de voorkeur aan dubbele afpersingstactieken, waarbij gegevensdiefstal wordt gecombineerd met versleuteling om slachtoffers onder druk te zetten losgeld te betalen.
FunkSec lijkt geen bekende connecties te hebben met eerder geïdentificeerde ransomware bendes. De meeste kernactiviteiten van FunkSec worden waarschijnlijk uitgevoerd door onervaren spelers, met ondersteuning van AI. Daarnaast is het moeilijk om de authenticiteit van de gelekte informatie te verifiëren, omdat het voornaamste doel van de groep lijkt te zijn om zichtbaarheid en erkenning te krijgen. Bovendien heeft FunkSec banden met hacktivistische activiteiten, met leden die actief zijn in Algerije. Dit benadrukt de steeds vager wordende grens tussen hacktivisme en cybercriminaliteit, en de uitdagingen om het ene van het andere te onderscheiden.
De VS bleef het meest aangevallen bleef, met 936 ransomware-aanvallen binnen de landsgrenzen. In de top 10 landen die het doelwit zijn van ransomware staan echter ook veel Europese landen, zoals Duitsland en Frankrijk.