LockBit 5.0 zet Actua op de lijst: verspreide leaks en het einde van makkelijke takedowns
LockBit is jarenlang het meest herkenbare merk van ransomware geweest, overleefde een gecoördineerde internationale takedown in 2024 en bouwde zich opnieuw op onder een versienummering die inmiddels 5.0 leest. Zijn nieuwste listing toont hoe weinig het afpersingsplaybook vertraagd is. Volgens bevindingen gerapporteerd door ZATAZ claimt de crew een breach van Actua, een Franse groep in uitzendwerk en personeelsdiensten, en zegt het begin september gestolen bestanden te zullen publiceren.
De gedreigde buit is concreet genoeg om te steken. LockBits darkweb-ingang beschrijft een set documenten met paspoorten, diploma’s, cv’s en verzekeringsattesten over meer dan 100.000 geworven personen. Actua is geen boetiekdoelwit: de groep runt 37 kantoren, werkt met meer dan 1.800 partnerbedrijven en plaatst maandelijks ongeveer 3.000 uitzendkrachten. Een uitzendfirma is van nature een magazijn van precies die identiteitsstukken waarmee ransomware-crews graag zwaaien.De claim tegenover wat iedereen kan verifiëren
Hier is waar voorzichtigheid zichzelf terugverdient. ZATAZ stelt dat niets van wat LockBit tot nu publiceerde onafhankelijke verificatie mogelijk maakt van óf het volume óf de intrusievector. Het cijfer van 100.000 mensen komt rechtstreeks van de aanvallers, en het volgt er niet uit dat elke genoemde persoon in elke documentcategorie voorkomt. De claim zegt niets over hoe indringers binnenkwamen, wanneer ze voor het eerst toegang kregen of hoe lang ze bleven. Het blijft volkomen mogelijk, zoals ZATAZ opmerkt, dat de criminelen niets meer aanraakten dan één computer op een regionaal kantoor. Die kloof tussen kopijcijfer en aantoonbare realiteit is geen eigenaardigheid van deze zaak. Leak-site-listings zijn marketingdocumenten. Slachtoffercijfers blazen op, documentcategorieën vervagen, en de meest alarmerende formulering wint aandacht of het onderliggende archief nu past of niet. De geschiedenis biedt overvloedig voorbeelden waarbij geclaimde megabytes dramatisch krompen zodra dumps echt landden. Tot er bestanden opduiken en iemand ze telt, is de eerlijke beschrijving van de Actua-claim: ongeverifieerd, plausibel van vorm, onbewezen van omvang. Actua zelf reageerde niet op verzoeken om commentaar. Stilte is gebruikelijk in de eerste dagen van een listing, vooral terwijl de Franse gegevensbeschermingsverplichtingen rond breach-melding worden uitgesorteerd. Maar het laat kandidaten en uitzendkrachten in een ongemakkelijke positie: de dreiging is publiek, het bewijs niet, en september is dichtbij.Tien opslaglocaties tegelijk
Het werkelijk nieuwe element is tactisch. In plaats van één dump-URL te beloven, kondigt LockBit 5.0 zijn voornemen aan om de leak tegelijk over tien verschillende opslaglocaties te verdelen. ZATAZ leest dit terecht als een strategie van dispersie: beschikbaarheidspunten worden vermenigvuldigd zodat het verwijderen van één ervan weinig oplevert, en snelle takedown een whack-a-mole-oefening wordt over jurisdicties en providers. De context maakt de zet leesbaar. In februari 2024 nam Operatie Cronos LockBit-infrastructuur in beslag op tientallen servers, verving leak-sitepagina’s door handhavingbanners en vernederde het merk over de gehele lijn (KrebsOnSecurity). De operatie werkte omdat LockBit zijn publicatie concentreerde op infrastructuur die gelokaliseerd en gepakt kon worden. Verspreide leaks zijn het directe antwoord op die les: als de lading op tien plaatsen ligt voordat iemand weet waar, verandert het in beslag nemen van één ervan bijna niets.Wat dispersie betekent voor tracking
Voor wie de beschikbaarheid van leak-sites volgt, weegt dit zwaarder dan het slachtoffercijfer. Het oude model ging uit van een chokepoint: haal de afpersingsblog of zijn CDN omlaag, en de drukcampagne stokt. Dispersie verwijdert het chokepoint. De uptime van één enkel eindpunt stopt met een betekenisvol signaal te zijn, want de campagne overleeft partiële uitval by design. Monitoring moet uitbreiden van één onion-adres naar een wisselende set mirrors, buckets en paste-achtige hosts, waarvan sommige misschien helemaal geen onion-services zijn. Dit weerspiegelt een patroon dat lang vertrouwd is uit de geschiedenis van darknet markets, waar officiële-linklijsten en redundante mirrors na herhaalde inbeslagnames overlevingsuitrusting werden. De mechaniek van die wapenwedloop behandelden we in ons stuk over waarom mirrors offline tonen, en dezelfde dynamiek geldt hier: redundantie verslaat verwijdering op één punt, maar het vermenigvuldigt ook de oppervlakken waarop dode links, imitatiekopieën en dode eindpunten zich opstapelen. Een verspreide leak garandeert dat enkele van de tien locaties binnen dagen nep, stuk of gebooby-trapt zullen zijn.De komende weken lezen
De praktische les splitst zich in drie richtingen:- Voor getroffenen is de zinnige houding voorzorg zonder paniek: het cijfer van 100.000 als onbevestigd behandelen, op de werkelijke publicatie letten en ervan uitgaan dat phishinggolven de kopij exploiteren, ongeacht of echte documenten ooit verschijnen.
- Voor verdedigers luidt de les dat begin september een deadline is die de aanvaller stelt, en deadlines schuiven in dit genre constant; aftellingen bestaan om urgentie te creëren, niet nauwkeurigheid.
- Voor analisten en monitors betekent tien gelijktijdige drop-punten dat beschikbaarheidstracking distributiebewust moet worden: campagnes scoren op hoeveel levende locaties overblijven, niet op of één site resolveert.