Защо малките предприятия са мишена

Модул 1: Защо Вие сте мишена · Време за четене: 9 минути

Цел на урока: След този урок ще можете да обясните как действат нападателите (автоматизирано, насочено към печалба, опортюнистично) и защо твърдението "ние сме твърде малки" не издържа.
Основни понятия: заплаха, уязвимост, риск, опортюнистична атака, насочена атака, киберпрестъпност като услуга, повърхност на атака

"Какво ще търсят точно при нас?"

Този въпрос се чува почти от всяко малко предприятие. Пекарна, счетоводна кантора с трима души, футболен клуб: нима няма по-едра плячка? Идеята зад това разсъждение е, че нападателят първо избира мишена и после търси как да проникне. За малка част от атаките това е вярно. За по-голямата част обаче е точно обратното: нападателят първо търси слабо място и почти не го интересува на кого принадлежи то.

За да разберете това добре, Ви трябват три понятия, които се връщат през целия курс.

• Заплаха е нещо, което може да причини щета: измамник, който изпраща фалшиви фактури, парче ransomware, колега, който по невнимание споделя грешния файл.
• Уязвимост е слабо място, през което тази заплаха може да нанесе удар: парола, която използвате и за онлайн магазин, плъгин, който от година не е обновяван, платежен процес без контрол.
• Риск е комбинацията: каква е вероятността дадена заплаха да нанесе удар през дадена уязвимост и колко сериозно е това? Често се записва като риск = вероятност x въздействие.

Предприятие без уязвимости не съществува. Затова целта на сигурността не е "нулев риск", а намаляване на най-големите рискове дотолкова, че да можете да живеете с тях.

Опортюнистична или насочена

Общо взето има два вида атаки.

При насочена атака нападателят избира една конкретна организация. Проучва кой работи там, кой плаща фактурите, кои са доставчиците, и съобразява атаката си с това. Това отнема време, затова трябва да си заслужава. Представете си измамник, който знае, че Вашата фирма този месец плаща голяма машина, и точно тогава изпраща "променена банкова сметка" уж от доставчика.

При опортюнистична атака е обратното. Нападателят се насочва към слабо място, което се среща едновременно при хиляди организации, и взема каквото намери. Няма личен избор за Вашата фирма. Вие сте просто един от адресите в списъка.

Малките предприятия биват засягани предимно от втория вид. Това не е лош късмет, а математика: ако повторението на една атака не струва нищо, си заслужава да бъде насочена към всички.

Как автоматизацията прави атаките евтини

Нападателят не седи и не въвежда IP адреси на ръка. Той използва програми, които претърсват интернет денонощно. Такъв скенер пита адрес след адрес: каква услуга работи тук, каква версия, има ли отворена страница за вход? За часове голяма част от интернет е преминала.

Да кажем, че се разкрива уязвимост в широко използван плъгин за онлайн магазини. На следващия ден скенер търси всички сайтове с този плъгин. Намира онлайн магазина на адвокатска кантора, която никога повече не е поглеждала сайта си, сайта на сдружение и www.example.com на Пекарна Example. Скенерът не знае какво е пекарна и изобщо не го интересува. Той вижда само: стара версия, значи улучен.

Същото се случва и при влизанията. Списъци с милиони изтекли комбинации от имейл адрес и парола се пробват автоматично за имейл, счетоводен софтуер и социални мрежи (урок 1.4). А фишинг имейли се изпращат в големи количества; ако малка част от получателите кликнат, кампанията вече е печеливша.

Освен това вече не е нужно сами да сте хакер, за да извършите атака. Възникна цял пазар на киберпрестъпност като услуга: единият разработва ransomware и го дава под наем, другият продава откраднати данни за вход, трети продава достъп до фирмени мрежи, които вече са отворени. Microsoft описва в своя блог за сигурност как откраднатите данни се събират, препродават и в крайна сметка се предлагат като достъп до компании. Прагът за участие е нисък, а броят на нападателите голям.

Къде са парите

Почти всички атаки срещу малки предприятия се въртят около пари. Те постъпват по няколко начина:

1. Директно плащане. Вие или Ваш колега превеждате пари по грешна сметка: фалшива фактура, спешна молба "от директора" (урок 1.2).
2. Откуп. Файловете Ви биват криптирани и трябва да платите, за да ги получите обратно, или за да предотвратите публикуването на откраднати данни (урок 1.3).
3. Препродажба. Данни за вход, клиентски данни или достъп до Вашите системи се продават на всеки, който иска да ги използва (урок 1.4).
4. Използване на Вашите системи. Пощенската Ви кутия изпраща спам, уебсайтът Ви разпространява злонамерен софтуер, сървърът Ви копае криптовалута. Вие плащате сметката под формата на лоша репутация или блокиран имейл адрес.
5. През Вас към друг. Вие сте доставчик на по-голяма фирма. Нападател, който завладее пощенската Ви кутия, може от Ваше име да изпраща фалшиви фактури на Вашите клиенти.

Малките предприятия са привлекателни по две причини. Те имат пари по сметка и плащат фактури, но често нямат ИТ отдел, нямат принцип "на четири очи" при плащания и нямат добре поддържано резервно копие. Това увеличава шанса за успех.

Вашата повърхност на атака

Всичко, което нападателят може да опита отвън, се нарича Вашата повърхност на атака. За малко предприятие тя е по-голяма, отколкото си мислите:

• Вашият уебсайт, заедно с CMS, плъгините и страницата за администриране;
• Вашият имейл: пощенските кутии, но и Вашият домейн, който измамник може да имитира, ако SPF, DKIM и DMARC не са настроени правилно (модул 4);
• всички онлайн акаунти: банка, счетоводство, платформа за онлайн магазин, социални мрежи, регистраторът на Вашия домейн;
• устройствата: лаптопи, телефони, рутерът, мрежовият диск, принтерът;
• хората: всеки, който чете поща, плаща фактури или вдига телефона;
• Вашите доставчици: уеб разработчикът с администраторски акаунт, ИТ фирмата с отдалечен достъп (модул 7).

Всяка част, която вече не използвате, но все още е онлайн, е допълнителна повърхност без полза. Стар тестов сайт на test.example.com, забравен FTP акаунт от предишен уеб разработчик, акаунт в услуга, която сте прекратили преди три години: никой вече не следи за тях, затова точно там се крият уязвимостите.

Капани в мисленето

"Ние нямаме нищо ценно."

Вие поне имате банкова сметка, пощенска кутия, на която клиентите разчитат, и клиентски данни. Това е достатъчно.

"Имаме антивирус, значи сме защитени."

Антивирусът помага срещу част от злонамерения софтуер. Не помага срещу колега, който плаща автентично изглеждаща фактура с друга банкова сметка, нито срещу парола, изтекла от друг сайт.

"Нашата ИТ фирма се грижи за това."

Може би. Но знаете ли какво точно уреждат те? ИТ фирмата често се грижи за актуализации и антивирусна програма, но не и за Вашата процедура за плащания, политиката за пароли или достъпа на Вашия уеб разработчик. Кой какво прави, трябва да бъде изрично договорено (модул 7).

"На нас няма да ни се случи, никога досега не се е случвало."

Често просто не знаете. Завладяна пощенска кутия може с месеци да бъде четена незабелязано, преди някой да злоупотреби с нея.

На практика: ето как изглежда

Пример, съставен от често срещани ситуации. Малка счетоводна кантора (четирима души) имаше уебсайт, изграден от предишен уеб разработчик на определена CMS система. Никой вече не влизаше в нея, затова никой не виждаше известията за актуализации. Една понеделнишка сутрин в пощенската кутия пристигна известие от хостинг доставчика: от сайта се разпространяваха фишинг страници. От логовете стана ясно, че скенер е открил известна уязвимост в стар плъгин за формуляри, в същия ден, в който и стотици други сайтове. Кантората никога не е била "избрана". Възстановяването отне седмица, а домейнът известно време фигурираше в списък с блокирани адреси, заради което пощата на кантората попадаше в спам при клиентите.

Уязвимостта е можела да бъде предотвратена с една-единствена актуализация. Точно за това става дума в останалата част от този курс: не за перфектна сигурност, а за основата, която спира евтините, масови атаки.

Обобщение

• Рискът е комбинацията от заплаха и уязвимост: вероятност x въздействие.
• Повечето атаки срещу малки предприятия са опортюнистични: първо слабото място, после едва тогава жертвата.
• Автоматизацията и киберпрестъпността като услуга правят атаките евтини, затова си заслужава да бъдат насочени към всички.
• Почти всичко се върти около пари: фалшиви плащания, откуп, препродажба на данни или злоупотреба с Вашите системи.
• Вашата повърхност на атака се състои от уебсайт, имейл и домейн, акаунти, устройства, хора и доставчици; забравените части са най-опасни.

Тест

Задача

Задача A1.1: Заплаха, уязвимост и риск. Получавате четири кратки ситуации от малки предприятия. За всяка ситуация посочете каква е заплахата и каква е уязвимостта, и оценете вероятността и въздействието (ниско, средно, високо). След това подредете четирите ситуации от най-голям към най-малък риск. Програмата проверява отговорите Ви и обяснява за всяка ситуация защо.

Задача D1.1: Картографиране на повърхността на атака. Направете списък на всичко, което Вашата фирма има онлайн: уебсайтове и поддомейни, акаунти, устройства с връзка навън, и кой има достъп отвън. Отбележете за всяка част дали все още я използвате и кой е собственикът.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е подобен.

• Помощ! Сайтът ми е хакнат. Как да го поправя или предотвратя?
• Нидерландският NCSC, препоръки за самостоятелно заети лица и малки и средни предприятия: https://tools.ncsc.nl/cyberveilig-check/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (на английски): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/