Stel het betalen van losgeld bij cyberaanvallen strafbaar
Hackersgroep Shinyhunters wist midden februari de gegevens van 6,2 miljoen klanten van Odido te stelen. Cybercriminelen deden zich voor als collega of medewerker van de IT-afdeling om zo toegang te krijgen tot interne systemen.
Odido werd onder druk gezet om ongeveer 1 miljoen euro te betalen om publicatie van de data te voorkomen. In overleg met politie en cybersecurityexperts weigerde Odido te betalen, temeer daar de groep een slechte reputatie had. In het verleden werden data onder een andere naam alsnog gepubliceerd of doorverkocht.
De criminelen zochten na de weigering actief contact met Nederlandse media. Ze hoopten dat Odido onder druk van negatieve publiciteit alsnog zou betalen.
Als klant van Odido ben ik zelf ook slachtoffer geworden, maar ik ben blij dat Odido niet heeft betaald. Deskundigen menen dat elke organisatie uiteindelijk slachtoffer kan worden van een aanval. Een menselijke fout betekent niet automatisch dat een organisatie haar beveiliging niet op orde heeft. Wel hebben we in het verleden kunnen zien dat bestuurders genegen zijn losgeld te betalen (dat uiteindelijk door de aandeelhouders of belastingbetalers wordt opgebracht). De Universiteit Maastricht en Clinical Diagnostics zijn daarvan bekende voorbeelden. Het is duidelijk dat deze organisaties daarmee een risico vormen voor andere organisaties, omdat ze cybercriminaliteit belonen, aanmoedigen en in stand houden.
Daarom stel ik voor om een verbod op het betalen van losgeld in te stellen, met boetes die op kunnen lopen van tweemaal het geëiste bedrag tot eventueel celstraf voor de bestuurders. Dit lijkt de enige manier die daadwerkelijk bescherming kan bieden. Als dat niet lukt in Europees verband, dan maar landelijk. Nederlandse bedrijven zullen dan niet, of veel minder vaak slachtoffer worden omdat criminelen weten dat een Nederlands bedrijf strafbaar is als het betaalt.
© Paul ter Heyne, Bussum 22.03.2026
[Top]