Kodėl mažos įmonės tampa taikiniu

1 modulis: Kodėl Jūs esate taikinys · Skaitymo trukmė: 9 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kaip veikia užpuolikai (automatizuotai, siekdami pinigų, oportunistiškai) ir kodėl teiginys „mes per maži, kad mumis kas nors domėtųsi“ neatitinka tikrovės.
Pagrindinės sąvokos: grėsmė, pažeidžiamumas, rizika, oportunistinė ataka, tikslinė ataka, kibernetiniai nusikaltimai kaip paslauga, atakos paviršius

„Ko jiems iš mūsų reikėtų?“

Šį klausimą girdite beveik iš kiekvienos mažos įmonės. Kepyklėlė, trijų žmonių buhalterinės apskaitos biuras, futbolo klubas: argi nėra didesnių žuvų? Už šio klausimo slypi idėja, kad užpuolikas pirmiausia pasirenka taikinį, o tada ieško, kaip prie jo prisiartinti. Nedidelei daliai atakų tai tiesa. Didžiajai daliai viskas vyksta atvirkščiai: užpuolikas pirmiausia ieško silpnos vietos, ir jam mažai rūpi, kam ji priklauso.

Kad tai gerai suprastumėte, Jums reikės trijų sąvokų, kurios kartosis visoje šioje kurso programoje.

• Grėsmė yra kažkas, kas gali sukelti žalą: sukčius, siunčiantis netikras sąskaitas, išpirkos reikalaujanti programa, kolega, kuris per klaidą pasidalina netinkamu failu.
• Pažeidžiamumas yra silpna vieta, per kurią ta grėsmė gali smogti: slaptažodis, kurį naudojate ir internetinėje parduotuvėje, papildinys (plugin), kuris jau metus negavo atnaujinimo, mokėjimų procesas be patikros.
• Rizika yra šių dviejų derinys: kokia tikimybė, kad grėsmė per pažeidžiamumą smogs, ir kokios bus pasekmės? Dažnai tai užrašoma kaip rizika = tikimybė x poveikis.

Įmonės be jokių pažeidžiamumų nebūna. Todėl saugumo tikslas yra ne „nulinė rizika“, o didžiausių rizikų sumažinimas tiek, kad su jomis būtų galima gyventi.

Oportunistinė ar tikslinė

Grubiai tariant, yra dviejų tipų atakos.

Vykdant tikslinę ataką, užpuolikas išsirenka vieną konkrečią organizaciją. Jis išsiaiškina, kas ten dirba, kas apmoka sąskaitas, kokie yra tiekėjai, ir pagal tai pritaiko savo ataką. Tai užima laiko, todėl turi atsipirkti. Įsivaizduokite sukčių, kuris žino, kad Jūsų įmonė šį mėnesį apmokės didelę sąskaitą už mašiną, ir būtent tuo metu atsiunčia „pasikeitusį sąskaitos numerį“ tariamai nuo tiekėjo.

Oportunistinė ataka veikia atvirkščiai. Užpuolikas sutelkia dėmesį į silpną vietą, kuri pasitaiko tūkstančiuose organizacijų vienu metu, ir pasiima tai, ką randa. Nėra jokio asmeninio pasirinkimo Jūsų įmonės atžvilgiu. Jūs tiesiog esate vienas iš adresų sąraše.

Mažos įmonės dažniausiai nukenčia nuo antrojo tipo. Tai ne nesėkmė, tai matematika: jei atakos pakartojimas nieko nekainuoja, apsimoka ją paleisti prieš visus.

Kaip automatizavimas atpigina ataką

Užpuolikas nesėdi rankomis rinkdamas IP adresus. Jis naudoja programas, kurios dieną naktį skenuoja internetą. Toks skeneris adresas po adreso klausia: kokia paslauga čia veikia, kokia versija, ar atviras prisijungimo puslapis? Per kelias valandas peržiūrima didelė dalis interneto.

Įsivaizduokite, kad paaiškėja apie pažeidžiamumą plačiai naudojamame internetinių parduotuvių papildinyje. Kitą dieną skeneris ieško visų svetainių su tuo papildiniu. Jis randa advokatų kontoros internetinę parduotuvę, kurios niekas seniai neprižiūrėjo, asociacijos svetainę ir www.example.com, priklausantį Kepyklėlei Example. Skeneris nežino, kas yra kepyklėlė, ir jam tai nerūpi. Jis mato tik: sena versija, taigi taikinys.

Tas pats vyksta ir su prisijungimais. Sąrašai su milijonais nutekintų el. pašto adreso ir slaptažodžio derinių automatiškai bandomi pašto dėžutėse, buhalterinėse sistemose ir socialiniuose tinkluose (1.4 pamoka). O sukčiavimo laiškai (phishing) siunčiami dideliais kiekiais; jei nedidelė dalis gavėjų paspaudžia nuorodą, kampanija jau yra pelninga.

Be to, dabar norint vykdyti ataką, nebūtina pačiam būti įsilaužėliu. Susiformavo visa kibernetinių nusikaltimų kaip paslaugos rinka: vienas sukuria išpirkos reikalaujančią programą ir ją išnuomoja, kitas parduoda pavogtus prisijungimo duomenis, trečias parduoda jau atvertą prieigą prie įmonių tinklų. Microsoft savo saugumo tinklaraštyje aprašo, kaip pavogti duomenys yra suburiami į paketus, perparduodami ir galiausiai siūlomi kaip prieiga prie įmonių. Dėl to slenkstis prisijungti prie tokios veiklos yra žemas, o užpuolikų skaičius didelis.

Kur yra pinigai

Beveik visos atakos prieš mažas įmones sukasi apie pinigus. Jie patenka į užpuolikų rankas keliais būdais:

1. Tiesioginis mokėjimas. Jūs arba Jūsų kolega pervedate pinigus į netinkamą sąskaitą: netikra sąskaita, skubus prašymas „nuo direktoriaus“ (1.2 pamoka).
2. Išpirka. Jūsų failai užšifruojami, ir turite sumokėti, kad juos atgautumėte, arba kad pavogti duomenys nebūtų paviešinti (1.3 pamoka).
3. Perpardavimas. Prisijungimo duomenys, klientų duomenys ar prieiga prie Jūsų sistemų parduodami tiems, kam jų reikia (1.4 pamoka).
4. Jūsų sistemų naudojimas. Jūsų pašto dėžutė siunčia šlamštą, Jūsų svetainė platina kenkėjišką programinę įrangą, Jūsų serveris kasa kriptovaliutą. Jūs sumokate sąskaitą blogos reputacijos ar užblokuoto el. pašto adreso forma.
5. Per Jus pas kitą. Jūs esate didesnės įmonės tiekėjas. Užpuolikas, perėmęs Jūsų pašto dėžutę, gali Jūsų vardu siųsti netikras sąskaitas Jūsų klientams.

Mažos įmonės yra patrauklios dėl dviejų priežasčių. Jos turi pinigų sąskaitoje ir apmoka sąskaitas, tačiau dažnai neturi IT skyriaus, keturių akių principo atliekant mokėjimus ir tinkamai tvarkomos atsarginės kopijos. Dėl to sėkmės tikimybė didesnė.

Jūsų atakos paviršius

Viskas, ką užpuolikas gali bandyti iš išorės, vadinama Jūsų atakos paviršiumi. Mažai įmonei jis yra didesnis, nei galvojate:

• Jūsų svetainė su turinio valdymo sistema (CMS), papildiniais ir administravimo puslapiu;
• Jūsų el. paštas: pašto dėžutės, bet taip pat ir Jūsų domenas, kurį sukčius gali apsimesti, jei SPF, DKIM ir DMARC nėra tinkamai sukonfigūruoti (4 modulis);
• visos internetinės paskyros: bankas, buhalterinė sistema, internetinės parduotuvės platforma, socialiniai tinklai, domeno registratorius;
• įrenginiai: nešiojami kompiuteriai, telefonai, maršrutizatorius, tinklo diskas, spausdintuvas;
• žmonės: visi, kurie skaito paštą, apmoka sąskaitas ar atsiliepia į telefoną;
• Jūsų tiekėjai: svetainės kūrėjas su administratoriaus paskyra, IT įmonė su nuotoline prieiga (7 modulis).

Kiekviena dalis, kurios nebenaudojate, bet kuri vis dar veikia internete, yra papildomas atakos paviršius be jokios naudos. Sena bandomoji svetainė adresu test.example.com, pamiršta FTP paskyra, likusi nuo ankstesnio svetainės kūrėjo, paskyra paslaugoje, kurios atsisakėte prieš trejus metus: į tai niekas nebekreipia dėmesio, todėl būtent ten ir slypi pažeidžiamumai.

Spąstai mąstyme

„Pas mus nėra nieko vertingo.“

Jūs bent jau turite banko sąskaitą, pašto dėžutę, kuria pasitiki klientai, ir klientų duomenis. To visiškai pakanka.

„Turime antivirusinę programą, taigi esame saugūs.“

Antivirusinė programa padeda prieš dalį kenkėjiškos programinės įrangos. Ji niekuo nepadės prieš kolegą, kuris apmoka tikroviškai atrodančią sąskaitą su kitu sąskaitos numeriu, ar prieš slaptažodį, nutekintą iš kitos svetainės.

„Tuo rūpinasi mūsų IT įmonė.“

Galbūt. Bet ar žinote, kuo jie iš tikrųjų rūpinasi? IT įmonė dažnai pasirūpina atnaujinimais ir antivirusine programa, bet ne Jūsų mokėjimų tvarka, slaptažodžių politika ar Jūsų svetainės kūrėjo prieiga. Kas ką daro, turite susitarti patys (7 modulis).

„Mums tai neatsitiks, iki šiol niekada nenutiko.“

Dažnai Jūs tiesiog to nežinote. Perimta pašto dėžutė gali būti mėnesius nepastebimai skaitoma, kol kas nors ja pasinaudos piktavališkai.

Praktikoje: taip tai atrodo

Pavyzdys, sudarytas iš situacijų, kurios pasitaiko dažnai. Mažas buhalterinės apskaitos biuras (keturi žmonės) turėjo svetainę turinio valdymo sistemoje, kurią sukūrė ankstesnis svetainės kūrėjas. Niekas joje nebesijungė, todėl niekas nematė pranešimų apie atnaujinimus. Pirmadienio rytą pašto dėžutėje atsirado talpinimo paslaugų teikėjo pranešimas: iš svetainės buvo platinami sukčiavimo (phishing) puslapiai. Iš žurnalų paaiškėjo, kad skeneris rado žinomą pažeidžiamumą senoje formų papildinio versijoje, tą pačią dieną kaip ir šimtuose kitų svetainių. Biuras niekada nebuvo „išsirinktas“. Atkūrimas užtruko savaitę, o domeno vardas kurį laiką buvo blokuojamų sąrašuose, dėl ko biuro laiškai klientams pateko į šlamšto aplanką.

Pažeidžiamumo buvo galima išvengti vienu atnaujinimu. Būtent apie tai yra likusi šio kurso dalis: ne apie tobulą saugumą, o apie pagrindus, kurie sustabdo pigias, masines atakas.

Santrauka

• Rizika yra grėsmės ir pažeidžiamumo derinys: tikimybė x poveikis.
• Dauguma atakų prieš mažas įmones yra oportunistinės: pirmiausia silpna vieta, tik tada auka.
• Automatizavimas ir kibernetiniai nusikaltimai kaip paslauga atpigina atakas, todėl apsimoka jas paleisti prieš visus.
• Beveik viskas sukasi apie pinigus: netikri mokėjimai, išpirka, duomenų perpardavimas ar Jūsų sistemų naudojimas piktavališkai.
• Jūsų atakos paviršių sudaro svetainė, paštas ir domenas, paskyros, įrenginiai, žmonės ir tiekėjai; pamirštos dalys yra pačios pavojingiausios.

Testas (quiz)

Užduotis

Užduotis A1.1: Grėsmė, pažeidžiamumas ir rizika. Gausite keturias trumpas situacijas iš mažų įmonių. Kiekvienai situacijai nurodykite, kas yra grėsmė ir kas yra pažeidžiamumas, ir įvertinkite tikimybę bei poveikį (žemas, vidutinis, aukštas). Po to sudėliokite visas keturias situacijas nuo didžiausios iki mažiausios rizikos. Programa patikrins Jūsų atsakymus ir paaiškins kiekvienos situacijos atveju, kodėl taip yra.

Užduotis D1.1: Jūsų atakos paviršiaus žemėlapis. Sudarykite sąrašą visko, ką Jūsų įmonė turi internete: svetaines ir subdomenus, paskyras, įrenginius su išorine jungtimi, ir kas turi prieigą iš išorės. Prie kiekvienos dalies nurodykite, ar vis dar ją naudojate ir kas yra jos savininkas.

Skaitykite daugiau

Veiksmai, aprašyti WebOké straipsniuose, galioja WebOké aplinkai; pas kitus paslaugų teikėjus procesas yra panašus.

• Pagalba! Mano svetainė nulaužta. Kaip tai išspręsti ir užkirsti kelią?
• Nacionalinis kibernetinio saugumo centras (NKSC), savarankiško kibernetinio saugumo patikra smulkiajam ir vidutiniam verslui: https://tools.ncsc.nl/cyberveilig-check/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (anglų k.): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/