Egy kibertámadás a vadászgépekre nagyobb veszélyt jelent, mint egy ellenséges rakéta

A Szabályozott Tevékenységek Felügyeleti Hatóságának (SZTFH) szakembere arra hívta fel a figyelmet, hogy azoknak a vállalatoknak, amelyeknek legalább 10 millió eurós árbevétele van és több, mint 50 főt foglalkoztat, regisztrálnia kell a NIS2-ben.

„Ez azért fontos, mert ahogy Robert Müller, az FBI egykori igazgatója mondta, kétfajta szervezet létezik a világon. Az egyik, amelyet már ért kibertámadás, a másik, amelyet érni fog kibertámadás. Sőt, a Cisco vezérigazgatója továbbmegy: kétfajta cég létezik, akit már meghekkeltek és tud róla, és az, akit meghekkeltek, de még nem tud róla. Azt hiszem, közel állunk az igazsághoz, ha kibertámadásokról beszélünk” – kezdte bevezetőjében Bor Olivér.

Dezinformációs hadviselés

A World Economics Forum 2024-es elemzésére hivatkozva arról is beszélt a szakértő, hogy a következő két évben az egyik legnagyobb globális rizikófaktor a dezinformációs hadviselés lesz. Az orosz-ukrán háborúból látható, hogy az álhíreknek és a dezinformációknak mekkora erejük van. Ez a kibertechnikai trend ma teljes mértékben meghatározza az életünket.

De a kiberbiztonság maga is ad rendesen feladatot a közeljövőben. Az Európai Unió Kiberbiztonsági Ügynöksége (ENISA) minden évben kiad egy kiberfenyegetettségi térképet. A 2023-as jelentés semmilyen újdonsággal nem szolgált, ami a támadási trendeket illeti. Ugyanúgy voltak zsarolóvírusok, ellátási láncok elleni támadások, dezinformációk. Hogy mégis mik változtak? Például az érintett szervezetek fizetési hajlandósága csökkent az EU-ban a zsarolóvírusoknál.

De folytatódott a trend, az ellátási láncok elleni támadások száma exponenciálisan nő 2020-tól.

Ha ma meg akarnak támadni egy céget a kiberbűnözők, akkor annak az ellátási láncában résztvevő bármelyik szereplő potenciális áldozattá válhat, főleg, ha köze van az informatikához. Sőt, egyre inkább az a divat, hogy mind a kettőt megtámadják. 2022-ben az EU-n belül az ilyen jellegű támadások száma már az összes támadások 61 százalékát tette ki.

A kiberbűnözők által okozott károk

Rengeteg remek statisztika létezik, de tudni kell, hogy óriási a látencia, azaz csak a jéghegy csúcsát jelentik. A cégek többsége általában nem vállalja fel úgy, ahogy ezt az UNIX tette Magyarországon. Példaértékű, ahogy a transzparenciát felvállalták, s megmutatták, hogyan lehet jól védekezni.

„Sajnos az összes ilyen szervezet a saját kárán tanul” – jelentette ki Bor Olivér.

2022-ben 8 ezer milliárd dollár volt világszinten a kiberbűnözők által okozott kár, amiről tudunk. Becslések szerint ezt nyugodtan meg lehet szorozni hárommal, mert ez lehet a valós összeg. A szakértő szerint az ESG még több támadási felületet szül, hiszen ezzel számtalan okoseszköz fog megjelenni, s ahány új okoseszköz, ahány új védpont, annyi új támadási felület a cégeknél.

A cégeket fenyegető legnagyobb veszélyek

A zsarolóvírus-támadások és az adathalászat a cégek legnagyobb veszélyei. 2022-ben közel 500 millió zsarolóvírus támadás volt világszinten, ami a gyártást, az élelmiszeripart, illetve a kritikus infrastruktúrát veszélyezteti, és ez nem jelenti azt, hogy aki más szektorokban dolgozik, az biztonságban van.

Az adathalászat pedig a leggyakoribb támadási módszer a világon. A hekkelések körülbelül 30 százaléka adathalász-támadással kezdődik, ezzel próbálnak bejutni az infrastruktúrába. Ez leginkább a pénzügyi szférát, az infokommunikációs szektort és a digitális infrastruktúrákat érinti.

„A pénzügyi szféra Magyarországon abban a szerencsés helyzetben van, hogy a kiberpajzs együttműködésnek köszönhetően - amiben a Nemzetbiztonsági Szakszolgálat Kibervédelmi Intézete és a Szabályozott Tevékenységek Felügyeleti Hatósága is benne van - 2023 utolsó negyedévében csökkent a pénzügyi csalások kárértéke, azaz kevesebb embert vertek át ebben az időszakban. De az elszenvedett online csalási károk összege Magyarországon még így is meghaladta a 30 milliárd forintot és nagyjából 20 ezer ember vált áldozattá, legalábbis akikről tudunk” – mutatott rá a szakértő, aki szerint durva, hogy

manapság a vadászgépekre sokkal nagyobb veszélyt jelent egy-egy kibertámadás, mint egy ellenséges rakéta, különösen annak tekintetében, hogy a szomszédunkban is háború zajlik.

Átalakultak a zsarolóvírusok

A zsarolóvírusoknál 2017-től mérik, hogy milyen arányban változtak a kifizetett váltságdíjak összegei globálisan. 2019-ben, a Covid idején szinte megnégyszereződött, az igazi felfutás pedig 2020-ban, a járvány kellős közepén történt. 2021-ben még nagyobb károkat okoztak a zsarolóvírusok, de aztán 2022-ben csökkentek.

Hogy mi jellemezte 2023-at? Újdonság, hogy a zsarolóvírus-támadások környezete és mibenléte megváltozott, átalakult. Már nem önmagában használják, hanem kiegészítő faktorként, például DDoS-, vagy adathalász-támadásokkal vegyítik. Bár 2023-ról még nincs teljes Eurostat-adat, de azt jósolják, hogy a zsarolóvírus-támadások által kifizetett váltságdíjak összege megdöntötte a 2021-es rekordot.

2021-ben a zsarolóvírusok által kifizetett váltságdíjak összege átlagosan 250 millió forint volt. De a cégeknek ezen felül a helyreállításra (ellátási láncok és rendszerek helyreállítása, reputáció, veszteség okozta kár összege, kríziskommunikáció) is kellett költeniük, ami átlagosan 540 millió forint volt. Ezek összesen már közel 1 milliárd forintot tettek ki, amit egy cég sem tud a szőnyeg alá söpörni.

„Magyarországon ennek ellenére sok magyar cég úgy gondolja, nem érheti ilyen támadás, nincs érzékeny adata és pénze, de ezek hamis biztonságérzetet adnak” – figyelmeztet Bor Olivér.

Adathalászat

A Covid idején rengeteg adathalász levelet küldtek Müller Cecília, vagy az Országos Rendőrfőkapitányság nevében. De míg régen helytelen magyarsággal íródtak, ma már odafigyelnek erre is. A pszichológiai manipuláció továbbra is erős, hogy rá akarnak venni minket a személyes és pénzügyi adataink megadására, vagy applikácók, mellékletek letöltésére.

Ezeknél ma már sokkal több messenger- és sms-üzenettel vagy hanghívással lehet találkozni. Sok kiberbűnöző ügyintézőnek adja ki magát, úgy próbál az adataink beazonosításával átverni minket, és ennek még mindig sokan bedőlnek. „Érdemes felkeresni jótanácsokért a kiberpajzs.hu-t, vagy a „Minden kiberül” podcastot, itt az utolsók egyike épp a kibervédelemről és a NIS2-ről szól. Utolsó epizódunkban Tatár Csillát láttuk vendégül, aki arról beszélt, hogy nevével hogyan kínáltak befektetési csalásokat Facebookon” – mondja Bor Olivér.

Hozzátette: az is veszélyes, amikor csomag érkezéséről kapunk üzenetet. Ez főleg 2020-2021 környékén volt trend, végigsöpört egész Európán, de a Nemzeti Kibervédelmi Intézetnek és az ORFK-nak köszönhetően Európán belül Magyarország szenvedte el a legkevesebb kárt.

A „business e-mailing compromise” is népszerű, amikor célzott profilozással választják ki az illetőt. Ilyenkor a vezérigazgató nevében követik el a csalást, vagy éppen őt célozzák meg, akár deep-fake technológiával a hangját is megmásítják. Amin az AI nem segít, sőt, tovább rontja a helyzetet, mert 2019-től kezdődően velünk van a deep fake-technológia. Mindig az a vége, hogy valamilyen adatbázist vagy pénzt átutalnak a vezérigazgatóra hivatkozva úgy, hogy a hangját megmásítják.

Az is egyre nagyobb veszélyt rejt magában egyébként, hogy egyre nő az okoseszközök száma és sérülékenysége. 2022-ben rekordszámú új CVA-azonosítót osztottak ki, és az internetre csatlakoztatott eszközök számát 2030-ra 110 milliárdra becsülik.