Könnyű célpontok: hol fenyegeti a kkv-kat a legnagyobb kiberveszély?

A cikk a Piac & Profit magazin február-márciusi számában jelent meg. 

A magazin az Inmedio és Relay újságárusoknál kapható, de digitális formában is hozzájuthat. Előfizethet egy évre, de akár egy számot is megvehet. Megrendelését itt adhatja le>>>

Megdöbbentő számokkal szembesülünk, ha fellapozzuk a kiberbűnözés témájában elvégzett kutatásokat. Minden hackelhető, és gyakorlatilag mindent hackelnek is. Ha konkrétan kiterítik elénk a statisztikákat az adatlopások, online betörések gyakoriságáról és az okozott anyagi károkról, akkor már nem is azon kezdünk el gondolkodni, hogy – szerencsés esetben – hogyan úszhattuk meg eddig azt, hogy áldozattá váljon a vállalkozásunk, hanem kis túlzással azon töprengünk, hogyhogy nem omlott még össze az internettel már teljesen összeforrt emberi civilizáció.

Gyorsan nő

Csak néhány az elmúlt pár év legdermesztőbb adataiból: a leginkább a vírusirtójáról ismert McAfee számítógép-biztonsági cég és a Stratégiai és Nemzetközi Tanulmányok Központja közös, 2018-as tanulmánya szerint a kiberbűnözés évente immár 600 milliárd dollárjába – közel 152 ezer milliárd forintjába – kerül a világnak. A növekedés dinamikus: hat évvel ezelőtt még „csak” 445 milliárd dollárnyi károkozásról beszélhettünk, és nem úgy tűnik, hogy a jövőben lassulna ez a nem kívánt növekedés. Ez a fajta bűnözés hatékonyabb, kockázatmentesebb, jövedelmezőbb és könnyebb, mint valaha bármi.

Durván hangzik? Pedig ez volt a konzervatív becslés. A Cybersecurity Ventures biztonsági vállalat 2017-es jelentése szerint a kiberbűnözés okozta károk abban az évben elérték a 3000 milliárd dollárt, és az ő előrejelzésük szerint a károk mértéke jövőre már 6000 milliárd dollárra nő. Ezek az összegek akkor lesznek különösen óriásiak, ha a másik oldal mellé állítjuk őket: a Gartner kutató-tanácsadó cég szerint a tavalyi évre a teljes, globális IT-kiadások nem érték el a 4000 milliárd dollárt. Az incidensek gyakoriságához pedig elég annyi, hogy a Cybersecurity Ventures becslései szerint tavaly minden 14. másodpercben áldozatul esett egy szervezet valamilyen zsarolóvírusnak, 2021-re pedig már 11 másodpercenként történik ilyen eset.

A nemzetközi kiberhorror mellett a hazai helyzet sem rózsás. A Panda Security tavaly októberben 260 kis- és nagyvállalati informatikai szakember körében végzett kutatást, melyből az derült ki, hogy a megelőző egy évben a válaszadók által képviselt cégek 60 százalékánál történt sikeres kibertámadás. A támadást elszenvedett vállalatok 31 százaléka csak egy héten belül, 7 százaléka pedig több hónap alatt vagy egyáltalán nem tudta orvosolni a keletkezett problémát.

Mégis, a megkérdezettek több mint fele vallotta: biztos abban, hogy a szervezete megfelelően védett a kibertámadásokkal szemben. Ez a Panda Security szerint meglepően magas szám. Ők úgy látják, hogy az üzlettulajdonosok, üzletvezetők valójában csak akkor szembesülnek a valódi kockázattal és az okozott kár üzleti hatásával, amikor már megtörtént a baj.

Mindenki célkeresztben

Elsőre azt gondolhatjuk, hogy a kiberbűnözők célpontjai leginkább a bankok, multik. Ez a hiedelem valószínűleg azért gyökeresedett meg, mert a nagyvállalatok ellen végrehajtott támadások azok, amelyek bekerülnek a hírekbe. Némi igazság van is ebben az előfeltevésben, tényleg ők a legkapósabbak, de ez nem jelenti azt, hogy a kkv-k nyugodtan hátradőlhetnek, sőt! Mert bár a nagy profitot az üzleti élet nagyvadaiból lehet kinyerni, a hackerek valójában nem nagyon válogatnak, lehajolnak az apróért is. Ráadásul minél kisebb a kiszemelt cég, rendszerint annál nagyobb célpontot ad, hiszen annál kevesebb forrást tud kibervédelemre fordítani.

Amikor a hacker nem a könnyebben elérhető, de várhatóan kisebb nyereségre hajt, akkor kerülnek elő a pénzügyi intézmények, tőzsdék, kórházak és egyetemek. Mégpedig azért, mert ezek az intézmények dolgoznak a legtöbb személyes információval. Az online tolvajok az innen kicsikart adatokkal elkezdik zsarolni a tulajdonosukat, vagy egyszerűen csak értékesítik a lopott csomagokat a dark weben.

Már csak az a kérdés, mindezek ellen hogyan védekezhetünk?

Védjük az embereket

Az egyik legnagyobb kockázatot saját beosztottjaink, munkatársaink jelentik, pontosabban az ő privát mobileszközeik. Ha kedves a cégünk biztonsága, nem hagyjuk, hogy a dolgozók saját okostelefonjukról, laptopjukról intézzék a munkaügyeket. Ezekre megfelelően védett vállalati eszközöket ajánlott biztosítani. Ezt igazolja az említett Panda Security-felmérés is: a válaszadó szakemberek több mint 56 százaléka a mobileszközöket és a külső adathordozókat azonosította, mint legsebezhetőbb felület.

A technikai feltételek biztosítása mellett fontos a munkavállalók folyamatos képzése is. Muszáj képben lenniük az újabb és újabb kockázati tényezőkkel kapcsolatban, hogy elkerülhessék a felelőtlen, kockázatos online magatartást.

Védjük a felhőt

Egyre több cég tárolja az adatait a felhőben, így természetesen a hackerek figyelme is a felhőszolgáltatók felé fordult: 2016-ról 2017-re 200 százalékkal növekedett az ilyen támadások száma a Symantec kiberbiztonsági cég korábbi felmérése szerint. A kiberbűnözők számára azért ideális a felhők támadása – ezek az úgynevezett ellátólánc-támadások –, mert rajtuk keresztül egyszerre sokkal több cégnél telepíthetnek kémprogramokat. Az internetes tolvajok azt használják ki, hogy a harmadik félként működő szoftverszolgáltatók, webszájt-építők és külső adattároló-szolgáltatók számtalan ügyfelük miatt leterheltek, nem oszthatják meg minden partnercég biztonsági irányelvét, és eleve sokszor csak olcsó saját biztonsági rendszert működtetnek, amely nem véd a szofisztikáltabb támadások ellen. Itt az lehet a megoldás, ha megbízható (tanúsított), titkosítással dolgozó felhőszolgáltatót választunk. Pluszpénzbe kerül, de érdemes kétlépcsős hitelesítéssel korlátozni a felhőben tárolt adataink hozzáférhetőségét.

Védjük az eszközöket

Berendezéseink okosodásával egy sor olyan eszköz bukkant fel az irodákban, amelyek korábbi, kevésbé fejlett verziójukhoz képest megemelt biztonsági kockázatot jelentenek. Ironikus módon az egyik ilyen berendezés a biztonsági kamera, amely ott van a hackerek legkedveltebb célpontjai között. Főképp az IP-kamerák a veszélyeztetettek, hiszen ezek az interneten keresztül kapják és küldik az adatokat. Az IoT-támadások közel felét IP-kamerákon keresztül követik el, és ezt a legtöbbször az olcsó, kevéssé minőségi berendezés teszi lehetővé.

Kockázatosak egy cégnél a virtuális asszisztensek is. Bár a hangfelismeréssel működő segédek otthon megkönnyítik az életünket, irodai környezetben nem ajánlott a használatuk, mert a kiberbűnözők előszeretettel hallgatják le az okoshangszórókat, biztonsági kódokra vadászva, melyekkel kikapcsolhatják a riasztókat, kinyithatják a zárakat. Megelőzhetjük a bajt, ha mindig ügyelünk arra, minden IT eszközünk (laptop, szerver, router stb.) mindig naprakész frissítésekkel rendelkezzen, erős WiFi-jelszót választunk, és biztonságos, azaz titkosított kommunikációs protokollt használunk. De a legjobb, ha a Google Home-ot és társait tényleg csak otthon használjuk.

A hackerek a légkondicionáló rendszerekkel is képesek visszaélni. Ha megszerzik felettük az irányítást, akkor úgy manipulálhatják a helyi szerverszoba hőmérsékletét, hogy a gépek túlhevüljenek, és leálljanak. Ennél veszélyesebb manőverekre is képesek: a légkondi-szolgáltató harmadik féltől belépési kódokat csalhatnak ki, és így eljuthatnak a támadott cég fizetési rendszeréhez is. Ezért harmadik fél igénybevétele esetén kiemelten fontos biztosítani, hogy a nekik megadott hozzáférésekkel ne lehessen további utakat nyitni a rendszerünkbe.

Fény minden cég működéséhez kell, pláne akkor, ha ügyfeleket is fogadnak. Minthogy a világítás egy cég életében is ennyire esszenciális, az sem kerülheti el a kiberbűnözők figyelmét. A hackerek blackoutokkal képesek leállítani céges folyamatokat. A klasszikus megoldás, hogy a szolgáltatótól vágják el az áldozatot, de ha az utóbbi időben terjedő okosizzókkal szereljük fel az irodáinkat, akkor házon belül oldják meg a támadást. A szolgáltató hackelésekor semmit sem tehetünk, de az okosizzók lecsavarását, a többi IoT-eszközhöz hasonlóan, a WiFi-hozzáférések biztos tárolásával előzhetjük meg.

Egy másik, lehetséges IoT-célpont az okostévé. Ezek a berendezések akkor válnak veszélyessé, ha olyan számítógépre csatlakoztatják őket, melyeken céges jelszavakat és adatokat tárolnak. Nem érdemes tehát okostévéről intézni a céges levelezést: akkor járunk a legjobban, ha az eszközt csakis olyan céges kütyükkel kapcsoljuk össze, melyeken nem tárolunk kényes adatokat.

Jól jön a fehér kalapos cowboy is

Egy hacker gondolkodását, módszereit a legjobban egy másik hacker ismeri, így érdemes lehet cégünk biztonsági állapotának felmérésére a kiberbűnöző barátságos verzióját felbérelni. Egy etikus hacker felderíti a rendszer biztonsági réseit, és jelent róluk, anélkül, hogy közben kiforgatna minket az adatainkból. A fehér kalapos netcowboy szolgáltatása sokba kerülhet, de még mindig nem annyiba, mint ha törvényen kívüli kollégája törne be a hálózatunkba.