Wie betaalt na een ransomware-aanval? En waarom?