Op 23 september publiceerde DNB een artikel “Hoe ransomware uitgroeide tot een miljardenindustrie”. Een aanrader! Hoogleraar Anja Shortland onderzoekt al jaren de verborgen economie achter ransomware. Z heeft hier ook veel over gepubliceerd, zoals te zien op haar pagina van King’s College.
Wat ik een zeer intrigerende observatie vind is dat criminele organisaties belang hebben bij een zekere mate van betrouwbaarheid: beloften moeten door criminelen wel worden nagekomen, anders stort het verdienmodel in. Ik snap de observatie en denk dan: als criminelen een reputatie moeten bewaken, hebben ze dan ook een compliance functie?
In een legale organisatie zorgen governance en compliance ervoor dat:
Een professionele ransomwaregroep heeft verrassend vergelijkbare belangen:
Ik zie wel een parallel! Hoe zou dat werken?
Maandagavond, 21.59 uur. In een afgeschermde chatroom op het darkweb gloeien de aliassen van Hackers Unlimited één voor één op.
Als de krijgsraad nog maar vijf minuten bezig is zit de sfeer al muurvast. Aan het hoofd van het digitale hol hangt ByteBoss, de baas van de crew, achterover in zijn stoel. ‘Luister, crew,’ zegt hij. ‘Volgende maand gaan we niet twintig organisaties locken, maar tweehonderd. Tegelijk. Pensioenfondsen, ziekenhuizen, gemeenten, dierenasiels, vogelopvangcentra—iedereen. Maximale buit. Wie haakt aan?’
Root, de raidmaster die alle aanvallen plant, steekt meteen zijn digitale hand op. Ledger, de buitverdeler, knikt ook. Zelfs GhostBrand, die op de fora de naam ‘DarkWolf’ oppoetst, typt: ‘Goud. Dit gaat overal rondzingen.’
De rest van de crew reageert met vuur-emoji’s. Iedereen lijkt tevreden—behalve Barry.
Barry is de fixer: degene die controleert of de bende haar eigen regels volgt, deals nakomt en niet door haar eigen hebzucht van het netwerk wordt geblazen.
Niemand weet precies hoe hij ooit tussen de exploitbouwers, cryptowassers en onderhandelaars is beland. Het verhaal gaat dat hij jaren geleden op de verkeerde link in een vacaturebericht klikte. Hoe dan ook: hij zit er nog steeds, met een versleutelde laptop, een eindeloze lijst bezwaren en het irritante talent om problemen te zien vóór ze ontploffen.
Barry zet zijn microfoon aan. ‘Ik zie een paar gaten in dit plan.’ Aan de andere kant van de verbinding klinkt één lang, collectief gekreun.
Binnen Hackers Unlimited staat Barry bekend als de man die elk briljant idee eerst door een digitale metaaldetector haalt. Als iemand ‘snelle buit’ zegt, hoort hij ‘extra attack surface’. Als iemand ‘niemand merkt het’ zegt, opent hij alvast een incidentlog.
Toen Root met een verse zero-day kwam aanzetten, wilde hij eerst weten wie bij een mislukte aanval de brokstukken zou opruimen. En toen GhostBrand voorstelde om ‘afpersing’ voortaan ‘alternatieve betalingsregeling’ te noemen, vond Barry dat een marketing-kreet die niet bij Hackers Unlimited paste.
Niemand begrijpt hem helemaal, maar zodra Barry chat dat iets ‘mogelijk onhandig’ is, luistert iedereen. In hun wereld betekent dat meestal dat er ergens een opsporingsteam wakker wordt. Barry heeft namelijk één ondraaglijke eigenschap: hij heeft bijna altijd gelijk.
‘Kom dan,’ zegt ByteBoss. ‘Waar zit de bug?’ Barry deelt zijn scherm. Boven de eerste slide staat in witte letters: Strategische risico’s van te veel herrie.
‘Om te beginnen: street cred,’ zegt Barry. ‘Onze naam op de darkwebfora.’
De chat valt stil. Dan verschijnt een bericht van ByteBoss: ‘Street cred? Wij zijn criminelen.’
‘Precies daarom,’ antwoordt Barry. ‘Ons model draait op vertrouwen. Niet op aardig gevonden worden, maar op de geloofwaardigheid dat wij na betaling leveren wat we beloven.’ Ledger, de buitverdeler, fronst naar zijn scherm. ‘Barry, heb je een virus opgelopen?’
Barry laat een schema zien van hun verdienmodel: slachtoffer betaalt, de decryptor werkt, buit wordt verdeeld en de crew houdt haar mond. ‘Als we na betaling alsnog data lekken of een kapotte sleutel afleveren, waarom zou het volgende doelwit ons dan nog geloven?’
Niemand typt iets. Voor een bende die leeft van wantrouwen is het pijnlijk helder: ze verkopen geen bestanden, maar een belofte. Een smerige belofte, zeker, maar wel één die alleen geld waard is zolang anderen denken dat Hackers Unlimited haar nakomt. GhostBrand noteert het onmiddellijk alsof hij zojuist een nieuwe slogan heeft gevonden.
Barry klikt door. ‘Dan het contact met de klant’. Root verslikt zich hoorbaar. ‘Je bedoelt het slachtoffer?’ ‘Noem het wat je wilt,’ zegt Barry. ‘Het is wel degene van wie de crypto moet komen.’
Op het scherm verschijnt een rij openstaande chats. ‘Bij tweehonderd gelijktijdige hits loopt onze hele operatie vast,’ vervolgt Barry. ‘Iemand moet onderhandelen, uitleggen hoe de crypto wordt overgemaakt, een werkende decryptor leveren, technische ellende oplossen en affiliates uitbetalen voordat ze elkaar op de fora beginnen te beschuldigen.’
‘Sinds wanneer doen wij aan service?’ vraagt ByteBoss. Barry haalt zijn schouders op. ‘Sinds we dingen beloven te doen.’ Zelfs achter hun stemvervormers klinkt de stilte beschaamd.
Dan veegt Barry de grappen van het scherm. ‘Er is nog iets,’ zegt hij. ‘Als we in één nacht ziekenhuizen, pensioenfondsen, gemeenten, scholen en opvangcentra raken, maken we te veel lawaai. Dan zijn we geen winstgevende crew meer, maar een prioriteitsdoelwit.’
De vuur-emoji’s verdwijnen. Root schuift in zijn stoel. Ledger stopt met rekenen. Iedereen kent de verhalen over servers die offline gingen, wallets die werden gevolgd en crewleden die na een verkeerde login ineens van de forums verdwenen.
‘Blauwe zwaailichten,’ zegt Barry rustig, ‘zijn funest voor de uptime.’ Dat argument begrijpt iedereen.
Na een uur morren, rekenen en dreigen met het muten van Barry landt de krijgsraad op een compromis: geen tweehonderd hits, maar vijftig. Geen ziekenhuizen. Geen dierenopvangcentra. En iedere decryptor wordt voortaan eerst getest voordat de onderhandelaars hem naar buiten sturen.
Barry slaat het besluit op in het versleutelde logboek. ‘Zetten we over twee weken een check-in?’ vraagt hij.
ByteBoss laat een lange stilte vallen. ‘Barry, besef je eigenlijk wel dat jij de spelregels bewaakt bij een criminele crew?’
Barry grijnst. ‘Zeker. Dat bewijst alleen maar mijn punt: elke organisatie heeft uiteindelijk iemand nodig die zegt dat een briljante zet misschien vooral een heel domme exploit van jezelf is.’
Het verhaal klinkt absurd: een ransomwarebende met een fixer, interne spelregels en zorgen over reputatie. Toch is de logica minder vreemd dan ze lijkt. Ook een criminele organisatie kan alleen blijven draaien als korte-termijnbuit niet telkens de hele operatie opblaast.
Legaal of illegaal, iedere organisatie die wil voortbestaan loopt uiteindelijk tegen dezelfde vragen aan:
Het verschil zit dus niet in de aanwezigheid van regels, processen of iemand die op de rem trapt. Het verschil zit in het doel waarvoor die middelen worden ingezet.
En daarmee is Barry misschien wel de vreemdste figuur in de hele onderwereld: de man die tussen malwarebouwers en cryptowassers zit en toch iedere avond dezelfde vraag aan Hackers Unlimited stelt—niet of iets kan, maar of het verstandig is.
Als de plek van Barry vrijkomt, is het dan iets voor jou?
