Het lijkt een overwinning: de gevreesde Cyber Extortion-groepen, CyX, LockBit en Everest zijn gehackt. Dit lijkt een overwinning, maar vormt juist een nieuwe uitdaging voor IT-security. Volgens Orange Cyberdefense leidt de implosie van deze CyX-netwerken tot een chaotisch en onvoorspelbaar dreigingslandschap.

Wat is er precies gelekt?

De dark web-leksites van LockBit en Everest toonden een opvallend statement: ‘Don’t do crime. CRIME IS BAD xoxo from Prague.’ De impact bleef niet bij een boodschap. Bij LockBit werd een complete interne database buitgemaakt. Deze bevatte:

• Ruim 60.000 unieke Bitcoin-adressen
• 4.400+ interne chatberichten met slachtoffers
• Inloggegevens van 75 leden

De aanvallers drongen naar verluidt binnen via een bekende WordPress-kwetsbaarheid. Opmerkelijk detail: bij LockBit waren wachtwoorden onversleuteld opgeslagen.

Wat betekent dit voor de cybersecuritywereld?

Jort Kollerie, Strategic Advisor bij Orange Cyberdefense, benadrukt dat deze aanvallen niet per se leiden tot afname van het risico op cyber extortion. Integendeel: ‘Als grote spelers als LockBit en Everest wegvallen, ontstaat er een nieuwe dynamiek binnen het cybercrimelandschap. We zien nu een wildgroei aan kleinere, chaotisch opererende spelers. Voor securityteams wordt het daardoor veel moeilijker om aanvallen tijdig te herkennen.’

De decentrale opzet van CyX-netwerken betekent dat individuele leden zelfstandig kunnen doorgaan of nieuwe groepen vormen. Daarbij worden vaak eerder gelekte tools en infrastructuur hergebruikt. Het risico voor organisaties: een toename van low-cost, high-impact aanvallen met beperkte detecteerbaarheid.

Wat kunnen securityteams met de gelekte data?

Hoewel directe arrestaties onwaarschijnlijk zijn, bieden de lekken waardevolle inzichten voor threat intelligence-teams. De gelekte gegevens kunnen helpen bij:

• Het identificeren van communicatiepatronen tussen criminelen
• Het koppelen van crypto-adressen aan eerdere ransomwarecampagnes
• Het formuleren van nieuwe detectieregels op basis van bekende infrastructuur

Volgens Kollerie kunnen deze inzichten vertaald worden naar betere preventie: ‘Voor onze verdediging betekent dit dat we niet alleen moeten kijken naar wie er aanvalt, maar ook naar hoe deze aanvallers zelf opereren, communiceren en fouten maken. Elk lek geeft ons aanknopingspunten om hun gedrag beter te begrijpen.’

Wie zit hierachter?

De identiteit van de aanvallers blijft onduidelijk. Mogelijke scenario’s zijn:

• Rivaliserende cybercriminelen
• Statelijke actoren
• White hat-hackers met een activistische insteek

Deze versturen we 3-4x per jaar.