Cybercrimegroepen zélf gehackt: reden tot juichen?

Wat is er precies gelekt?

De dark web-leksites van LockBit en Everest toonden een opvallend statement: 'Don’t do crime. CRIME IS BAD xoxo from Prague.' De impact bleef niet bij een boodschap. Bij LockBit werd een complete interne database buitgemaakt. Deze bevatte:

• Ruim 60.000 unieke Bitcoin-adressen
• 4.400+ interne chatberichten met slachtoffers
• Inloggegevens van 75 leden

De aanvallers drongen naar verluidt binnen via een bekende WordPress-kwetsbaarheid. Opmerkelijk detail: bij LockBit waren wachtwoorden onversleuteld opgeslagen.

Wat betekent dit voor de cybersecuritywereld?

Jort Kollerie, Strategic Advisor bij Orange Cyberdefense, benadrukt dat deze aanvallen niet per se leiden tot afname van het risico op cyber extortion. Integendeel: 'Als grote spelers als LockBit en Everest wegvallen, ontstaat er een nieuwe dynamiek binnen het cybercrimelandschap. We zien nu een wildgroei aan kleinere, chaotisch opererende spelers. Voor securityteams wordt het daardoor veel moeilijker om aanvallen tijdig te herkennen.'

De decentrale opzet van CyX-netwerken betekent dat individuele leden zelfstandig kunnen doorgaan of nieuwe groepen vormen. Daarbij worden vaak eerder gelekte tools en infrastructuur hergebruikt. Het risico voor organisaties: een toename van low-cost, high-impact aanvallen met beperkte detecteerbaarheid.

Wat kunnen securityteams met de gelekte data?

Hoewel directe arrestaties onwaarschijnlijk zijn, bieden de lekken waardevolle inzichten voor threat intelligence-teams. De gelekte gegevens kunnen helpen bij:

• Het identificeren van communicatiepatronen tussen criminelen
• Het koppelen van crypto-adressen aan eerdere ransomwarecampagnes
• Het formuleren van nieuwe detectieregels op basis van bekende infrastructuur

Volgens Kollerie kunnen deze inzichten vertaald worden naar betere preventie: 'Voor onze verdediging betekent dit dat we niet alleen moeten kijken naar wie er aanvalt, maar ook naar hoe deze aanvallers zelf opereren, communiceren en fouten maken. Elk lek geeft ons aanknopingspunten om hun gedrag beter te begrijpen.'

Wie zit hierachter?

De identiteit van de aanvallers blijft onduidelijk. Mogelijke scenario’s zijn:

• Rivaliserende cybercriminelen
• Statelijke actoren
• White hat-hackers met een activistische insteek

In tegenstelling tot eerdere lekken zoals bij Conti, lijkt deze actie niet voort te komen uit interne onvrede, maar uit een externe, doelgerichte aanval.

Implicaties voor de IT-securitystrategie

Voor IT-professionals betekent dit dat het niet langer voldoende is om alleen bekende dreigingen te monitoren. De opkomst van kleinere, minder voorspelbare actoren vraagt om:

• Meer nadruk op anomaliedetectie in plaats van signature-based oplossingen
• Snelle vertaling van threat intelligence naar operationele detectie en respons
• Herziening van incident response-plannen die rekening houden met chaotische en opportunistische aanvallen

Deze ontwikkeling benadrukt het belang van adaptieve cybersecuritystrategieën. Organisaties die flexibel kunnen inspelen op nieuwe dreigingsvormen, hebben een duidelijk voordeel.

Geen gejuich om cybercrimegroepen die gehackt zijn

De verzwakking van LockBit en Everest biedt geen reden tot geruststelling. De dreiging verschuift, maar verdwijnt niet. In plaats van gecentraliseerde grootmachten staat de securitywereld nu tegenover een lappendeken van onvoorspelbare aanvallers. Alleen met sterke detectiecapaciteit, voortdurende monitoring en inzicht in het veranderende dreigingslandschap kunnen organisaties zich adequaat beschermen.