Gehackt? Dit Moet Je Doen: Incidentrespons Gids
Ontdekken dat je bedrijf gehackt is, is stressvol. Je gedachten razen, je hart bonst, en je weet niet wat je eerst moet doen. Haal even adem. Deze gids begeleidt je stap voor stap door wat je moet doen om de schade te beperken en zo snel mogelijk te herstellen. Of het nu gaat om een ransomware-aanval, een phishing-compromis, of een datalek, een plan maakt het verschil.
Tekenen Dat Je Gehackt Bent
De eerste stap is herkennen dat er iets mis is. Dit zijn veelvoorkomende tekenen van een inbraak:
Ongewoon systeemgedrag
Trage prestaties, crashes, programma's die vanzelf starten
Buitengesloten van accounts
Wachtwoorden werken niet meer, onverwachte wachtwoord-reset e-mails
Losgeldberichten
Versleutelde bestanden, berichten die betaling eisen
Vreemde netwerkactiviteit
Onverwachte datatransfers, verbindingen naar onbekende servers
Beveiligingsalerts
Waarschuwingen van antivirus, firewall of monitoring tools
Klachten van klanten
Meldingen van spam vanuit jouw e-mail, verdachte facturen
Kijk ook naar wat je netwerk verlaat, niet alleen naar wat binnen probeert te komen. Gestolen data is als eerste zichtbaar in het uitgaande verkeer, dus het bewaken van uitgaande verbindingen (egress-monitoring) verdient net zoveel aandacht als de firewall aan de voordeur.
Directe Stappen: De Eerste 15 Minuten
Wanneer je een inbraak vermoedt, zijn deze eerste acties cruciaal:
Geen paniek
Haal adem. Overhaaste beslissingen veroorzaken vaak meer schade. Je hebt tijd om na te denken.
Documenteer wat je ziet
Maak foto's van schermen, noteer foutmeldingen, tijdstippen. Dit bewijs is cruciaal.
Zet computers niet uit
Tenzij ransomware actief aan het verspreiden is. Bewijs kan verloren gaan bij uitschakelen.
Isoleer getroffen systemen
Koppel los van netwerk (haal kabels eruit, schakel Wi-Fi uit). Niet uitzetten.
Bel je IT-partner
Als je er een hebt, neem direct contact op. Zij kunnen de volgende stappen begeleiden.
Stapsgewijs Responsplan
Beheers
Stop de verspreiding
- Koppel getroffen computers los van het netwerk
- Schakel externe toegang en VPN-verbindingen uit
- Wijzig wachtwoorden voor kritieke accounts (vanaf een schoon apparaat)
- Blokkeer verdachte IP-adressen op de firewall
- Behoud bewijs: verwijder of wijzig niets
Beoordeel
Begrijp wat er gebeurd is
- Identificeer welke systemen getroffen zijn
- Bepaal welke data mogelijk gecompromitteerd is
- Controleer back-upsystemen: zijn ze intact?
- Bekijk beveiligingslogs voor het toegangspunt
- Identificeer het type aanval (ransomware, datadiefstal, etc.)
Communiceer
Informeer de juiste mensen
- Informeer management en belangrijke medewerkers
- Bereid klantcommunicatie voor als data getroffen is
- Meld bij je cyberverzekering
- Overweeg juridisch advies voor GDPR-verplichtingen
- Documenteer alle communicatie
Herstel
Herstel operaties
- Verifieer dat back-ups schoon zijn voor herstel
- Herbouw systemen vanaf bekende goede images
- Herstel data vanuit offline back-ups
- Reset alle wachtwoorden in de organisatie
- Patch kwetsbaarheden die de aanval mogelijk maakten
Rapporteer
Meld bij autoriteiten indien vereist
- NIS2: Meld significante incidenten binnen 24 uur
- GDPR: Meld bij gegevensbeschermingsautoriteit binnen 72 uur als persoonsgegevens getroffen
- Doe aangifte bij politie voor strafrechtelijk onderzoek
- Meld bij CCB via cert@ccb.belgium.be voor technische ondersteuning
Leer
Voorkom herhaling
- Voer een post-incident review uit
- Identificeer wat de aanval mogelijk maakte
- Update beveiligingsbeleid en procedures
- Implementeer aanvullende beveiligingsmaatregelen
- Train personeel over geleerde lessen
Kan je nog werken als…?
Een incidentplan bestaat uit twee delen. Het responsplan hierboven helpt je door het incident. De noodprocedures hieronder houden je zaak draaiende terwijl je IT plat ligt. Beslis ze voor je ze nodig hebt, één lijn per systeem: wat doe je, en wie beslist.
Als het een dag uitvalt
Noodprocedure
Gebruik een tweede mailadres dat niet afhangt van je hoofdsysteem (een gratis webmail volstaat). Bewaar een uitgeprinte belboom met je personeel, belangrijkste klanten en leveranciers.
Wie beslist, vooraf voorbereid
De zaakvoerder of kantoorverantwoordelijke. Schrijf het tweede adres op papier en geef het nu door aan personeel en sleutelcontacten.
Website, webshop of bestelsysteem
Als het een dag uitvalt
Noodprocedure
Neem bestellingen aan per telefoon of op een papieren bestelblok. Hou een uitgeprinte prijslijst en voorraadlijst bij de hand. Zet een korte melding op je sociale media of voicemail.
Wie beslist, vooraf voorbereid
De zaakvoerder beslist wanneer je overschakelt naar papier. Je IT-partner beslist wanneer de site weer veilig open mag.
Kassa of betaalterminal
Als het een dag uitvalt
Noodprocedure
Vraag aan je bank of betaalprovider wat het noodplan is voor je terminal (een mobiele terminal, een link in de bank-app, enkel cash). Hou wisselgeld klaar en een papieren bonnenboekje.
Wie beslist, vooraf voorbereid
De winkelverantwoordelijke. Vraag het noodplan schriftelijk aan je bank en bewaar het naast de kassa.
Telefoon (VoIP)
Als het een dag uitvalt
Noodprocedure
Schakel je hoofdnummer door naar een gsm, of zet de gsm-nummers in je voicemailboodschap. Hou een uitgeprinte lijst bij van wie welke lijn opneemt.
Wie beslist, vooraf voorbereid
De kantoorverantwoordelijke. Vraag aan je telecomoperator hoe je doorschakelt, en test het één keer.
Boekhouding en facturatie
Als het een dag uitvalt
Noodprocedure
Werk verder op papier of in een spreadsheet die offline staat. Noteer elke verkoop en kost met de hand en boek ze later in. Bewaar een offline kopie van je klanten- en leveranciersgegevens. Controleer betalingen in je bank-app.
Wie beslist, vooraf voorbereid
De zaakvoerder, samen met je boekhouder. Spreek vooraf af wie betalingen met de hand mag goedkeuren.
Gedeelde bestanden versleuteld (ransomware)
Als het een dag uitvalt
Noodprocedure
Betaal niet. Werk vanaf de laatste schone kopie: herstel uit een offline back-up. Doe nu al een herstelproef, zodat je weet hoe lang het duurt en dat de bestanden openen.
Wie beslist, vooraf voorbereid
Je IT-partner herstelt, de zaakvoerder beslist wat eerst terugkomt. Schrijf die volgorde vooraf op.
Wie Te Contacteren
De juiste contacten klaar hebben voor een incident bespaart kostbare tijd:
NIS2 Meldingsvereisten
Als je organisatie onder NIS2 valt, heb je strikte meldingsverplichtingen:
Moet Je Het Losgeld Betalen?
Dit is een van de moeilijkste beslissingen voor bedrijven. Ons advies: betaal niet.
Waarom niet betalen:
- Geen garantie dat je je data terugkrijgt
- Financiert criminele organisaties en moedigt meer aanvallen aan
- Betalen markeert je als doelwit voor toekomstige aanvallen
- Decryptietools werken vaak niet goed
- Kan sanctieregels schenden
Cyberverzekering Overwegingen
Als je een cyberverzekering hebt, handel snel:
- Meld bij je verzekeraar zo snel mogelijk (check polis voor termijn)
- Documenteer alles: verzekeraars hebben bewijs nodig voor claims
- Volg hun incidentrespons-vereisten
- Bewaar bonnetjes voor alle incident-gerelateerde kosten
- Erken geen aansprakelijkheid zonder overleg met je verzekeraar
De Volgende Aanval Voorkomen
Zodra je hersteld bent, versterk je verdediging: Zorg dat je betrouwbare back-ups, sterke toegangscontroles en e-mailbeveiliging hebt.
Veelgestelde Vragen
Hoe weet ik of ik gehackt ben?
Veelvoorkomende tekenen zijn: ongewone systeemtraagheid of crashes, geblokkeerde accounts, losgeldberichten, onverwachte wachtwoordresets, vreemde e-mails verzonden vanuit jouw accounts, of alerts van beveiligingssoftware. Als iets niet klopt, onderzoek het. Vertrouw op je gevoel.
Moet ik mijn computer uitzetten?
Meestal niet. Een computer uitzetten kan forensisch bewijs in het geheugen vernietigen. Koppel hem in plaats daarvan los van het netwerk (haal de netwerkkabel eruit, schakel Wi-Fi uit) maar laat hem draaien. De uitzondering: als ransomware actief bestanden versleutelt en verspreidt, kan uitschakelen de schade beperken.
Moet ik een inbraak melden?
Dat hangt ervan af. Onder GDPR moeten inbraken met persoonsgegevens binnen 72 uur worden gemeld bij de gegevensbeschermingsautoriteit als ze een risico vormen voor betrokkenen. Onder NIS2 moeten significante incidenten binnen 24 uur worden gemeld. Ook als het niet wettelijk verplicht is, kan melden bij CCB (cert@ccb.belgium.be) je helpen ondersteuning te krijgen en beschermt het anderen.
Moet ik losgeld betalen?
We raden het sterk af. Er is geen garantie dat je je data terugkrijgt, het financiert criminele organisaties, en het markeert je als doelwit voor toekomstige aanvallen. Focus op herstel via back-ups. Als je geen back-ups hebt, overleg met politie en cybersecurity-experts voordat je beslissingen neemt.
Hoe kan ik dit voorkomen in de toekomst?
Focus op de basis: onderhoud regelmatige geteste back-ups (met offline kopieën), schakel multi-factor authenticatie overal in, houd systemen gepatcht en bijgewerkt, train medewerkers om phishing te herkennen, en heb een incidentresponsplan klaar. Overweeg het CyberFundamentals framework voor gestructureerde beveiligingsverbetering.
Gerelateerde Artikelen
Bronnen
- CCB CERT Belgium , Computer Emergency Response Team
- NIS2 Directive (EU) 2022/2555 , Incident reporting requirements
- IBM Cost of a Data Breach Report , Breach statistics and costs
- ENISA , EU Agency for Cybersecurity