Trek de netwerkkabels eruit en zet wifi uit, maar zet apparaten niet uit. Raak de back-up nergens aan voordat u zeker weet dat die niet verbonden is. Betaal niet, en beloof dat ook niet. Meld het bij uw verzekeraar en, als er persoonsgegevens bij zijn, binnen 72 uur bij de Autoriteit Persoonsgegevens.
De eerste tien minuten
- Isoleer, maar zet niets uit. Haal de netwerkkabel uit de besmette machines en schakel wifi uit. Uitzetten klinkt logisch, maar in het werkgeheugen staat soms informatie die bij herstel helpt. Uitzetten is pas aan de orde als versleuteling nog bezig lijkt.
- Koppel de back-up los. Een externe schijf die eraan hangt, wordt meegenomen. Een netwerkschijf ook. Dit is de handeling waar het bij kleine bedrijven het vaakst misgaat.
- Zet de internetverbinding van het bedrijf uit als u niet zeker weet hoever het reikt. Liever een uur stil dan een dag besmetting erbij.
- Laat niemand inloggen. Ook niet "even kijken". Elke aanmelding kan de besmetting verder dragen.
Wat u vooral niet doet
- Niet betalen, en er niet over onderhandelen zonder hulp. Betalen geeft geen garantie en maakt u een bekend doelwit. Wie toch die kant op wil, doet dat via de verzekeraar, niet zelf.
- Geen bestanden verwijderen of hernoemen. Ook niet de losgeldbrief. Die bevat vaak informatie waarmee te bepalen is met welke variant u te maken heeft, en soms bestaat daar een gratis ontsleutelaar voor.
- Niet zelf een herstelprogramma van internet plukken. Veel van wat u dan vindt is zelf besmet.
- Geen schijven formatteren. Zolang er geen bewezen goede back-up staat, is dat de laatste kans die u weggooit.
Wie u belt, in deze volgorde
- Uw IT'er. Ook buiten kantooruren. Hier is een uur echt een uur.
- Uw verzekeraar. Veel cyberpolissen eisen dat u meteen meldt en werken met eigen specialisten. Doet u eerst zelf van alles, dan kan dat dekking kosten.
- Uw accountant of boekhouder, als de administratie geraakt is. Zij hebben vaak een recente kopie van gegevens die u kwijt bent.
- De politie. Aangifte helpt u zelden direct, maar is vaak wel een voorwaarde in de polis.
- Uw klanten en leveranciers, zodra u weet wat er speelt. Doe dit voordat zij het van iemand anders horen.
Als er persoonsgegevens bij zitten
Zodra er kans is dat persoonsgegevens zijn ingezien of gestolen, geldt de meldplicht. U heeft dan 72 uur om te melden bij de Autoriteit Persoonsgegevens. Die klok begint te lopen op het moment dat u het weet, niet als het onderzoek klaar is. Melden met onvolledige informatie en later aanvullen mag.
Houd vanaf minuut één een simpel logboek bij: wie belde wanneer, wat u heeft gedaan, welke systemen u heeft losgekoppeld. Dat kost vijf minuten en scheelt later dagen uitzoekwerk, zowel voor de verzekeraar als voor de melding.
Herstellen, en dan pas terug online
Terugzetten van een back-up op een besmette omgeving is zinloos: binnen een dag staat alles er weer versleuteld op. De volgorde is: eerst vaststellen hoe ze binnen zijn gekomen, dan die ingang dichten, dan schoon opbouwen, dan pas data terugzetten. Reken voor een klein bedrijf op twee tot vijf dagen als de back-up goed is.
Is de back-up ook geraakt, dan wordt het een kwestie van weken en gedeeltelijk verlies. Dat is de reden dat ik bij klanten altijd één kopie eis die niet vanaf het netwerk bereikbaar is: een back-up die alleen zichzelf kan overschrijven, of een kopie die fysiek loskoppelt.