De ce companiile mici sunt o țintă

Modulul 1: De ce sunteți o țintă · Timp de citire: 9 minute

Obiectivul lecției: După această lecție veți putea explica modul în care acționează atacatorii (automatizat, orientat spre bani, oportunist) și de ce afirmația „suntem prea mici" nu este corectă.
Concepte cheie: amenințare, vulnerabilitate, risc, atac oportunist, atac țintit, criminalitate cibernetică ca serviciu, suprafață de atac

„Ce ar avea ei de câștigat la noi?"

Această întrebare o auziți la aproape orice companie mică. O brutărie, un cabinet de contabilitate cu trei angajați, un club de fotbal: oare nu există pești mai mari? Ideea din spatele acestei întrebări este că un atacator alege mai întâi o țintă și apoi caută o modalitate de a pătrunde. Pentru o mică parte dintre atacuri, acest lucru este adevărat. Pentru marea majoritate, lucrurile funcționează exact invers: atacatorul caută mai întâi un punct slab, iar cui aparține acesta îi este aproape indiferent.

Pentru a înțelege bine acest lucru, aveți nevoie de trei concepte care revin de-a lungul întregului curs.

• O amenințare este ceva care poate provoca daune: un escroc care trimite facturi false, un program de ransomware, un coleg care distribuie din greșeală fișierul greșit.
• O vulnerabilitate este un punct slab prin care acea amenințare poate lovi: o parolă pe care o folosiți și la un magazin online, un plugin care nu a primit nicio actualizare de un an, un proces de plată fără control.
• Un risc este combinația dintre acestea: cât de mare este șansa ca o amenințare să lovească printr-o vulnerabilitate și cât de gravă ar fi situația? Deseori se scrie aceasta ca risc = probabilitate x impact.

O companie fără vulnerabilități nu există. Scopul securității nu este, așadar, „risc zero", ci reducerea celor mai mari riscuri până la un nivel cu care puteți trăi.

Oportunist sau țintit

Există, în linii mari, două tipuri de atacuri.

La un atac țintit, atacatorul alege o singură organizație. Cercetează cine lucrează acolo, cine plătește facturile, ce furnizori există, și își adaptează atacul în consecință. Acest lucru necesită timp, deci trebuie să aducă un câștig. Gândiți-vă la un escroc care știe că firma dumneavoastră plătește luna aceasta o mașină scumpă și care tocmai atunci trimite un „număr de cont modificat" în numele furnizorului.

La un atac oportunist, lucrurile stau invers. Atacatorul se concentrează pe un punct slab care apare simultan la mii de organizații și ia ce găsește. Nu există o alegere personală pentru firma dumneavoastră. Sunteți pur și simplu una dintre adresele de pe listă.

Companiile mici sunt afectate în special de al doilea tip. Nu este ghinion, este matematică: dacă un atac nu costă nimic să fie repetat, merită să fie îndreptat spre toată lumea.

Cum ieftinește automatizarea atacul

Un atacator nu introduce manual adrese IP. Folosește programe care scanează internetul zi și noapte. Un astfel de scanner întreabă adresă după adresă: ce serviciu rulează aici, ce versiune, există o pagină de autentificare deschisă? În câteva ore, o mare parte din internet a fost parcursă.

Să presupunem că devine cunoscută o vulnerabilitate într-un plugin folosit frecvent pentru magazine online. A doua zi, un scanner caută toate site-urile cu acel plugin. Găsește magazinul online al unui cabinet de avocatură care nu s-a mai uitat niciodată la site-ul său, site-ul unei asociații și www.example.com al Brutăriei Example. Scanerul nu știe ce este o brutărie și nici nu îi pasă. Vede doar: versiune veche, deci țintă.

Același lucru se întâmplă cu autentificarea. Liste cu milioane de combinații scurse de adresă de e-mail și parolă sunt încercate automat pentru e-mail, contabilitate și rețele sociale (lecția 1.4). Iar e-mailurile de tip phishing pleacă în număr mare; dacă doar o mică parte dintre destinatari dau clic, campania este deja profitabilă.

Pe lângă aceasta, nici nu mai trebuie să fiți dumneavoastră un hacker pentru a ataca. A apărut o piață completă de criminalitate cibernetică ca serviciu: unul dezvoltă ransomware-ul și îl închiriază, altul vinde date de autentificare furate, un al treilea vinde acces la rețele de companii deja compromise. Microsoft descrie în blogul său de securitate modul în care datele furate sunt grupate, revândute și, în final, oferite ca acces la companii. Pragul de intrare este astfel scăzut, iar numărul atacatorilor este mare.

Unde se află banii

Aproape toate atacurile asupra companiilor mici se învârt în jurul banilor. Aceștia ajung la atacatori în câteva moduri:

1. Plată directă. Dumneavoastră sau un coleg transferați bani în contul greșit: o factură falsă, o cerere urgentă „din partea directorului" (lecția 1.2).
2. Răscumpărare. Fișierele dumneavoastră sunt criptate și trebuie să plătiți pentru a le recupera, sau pentru a împiedica publicarea datelor furate (lecția 1.3).
3. Revânzare. Datele de autentificare, datele clienților sau accesul la sistemele dumneavoastră sunt vândute celui care dorește să le folosească (lecția 1.4).
4. Folosirea sistemelor dumneavoastră. Căsuța dumneavoastră de e-mail trimite spam, site-ul dumneavoastră răspândește programe malware, serverul dumneavoastră minează criptomonede. Dumneavoastră plătiți nota sub forma unei reputații proaste sau a unei adrese de e-mail blocate.
5. Prin dumneavoastră către altcineva. Sunteți furnizor al unei companii mai mari. Un atacator care preia căsuța dumneavoastră de e-mail poate trimite facturi false clienților dumneavoastră în numele dumneavoastră.

Companiile mici sunt atractive din două motive. Au într-adevăr bani în cont și plătesc facturi, dar adesea nu au departament IT, nici principiul celor patru ochi la plăți, nici o copie de siguranță bine întreținută. Aceasta mărește șansa de succes.

Suprafața dumneavoastră de atac

Tot ceea ce un atacator poate încerca din exterior se numește suprafața dumneavoastră de atac. Pentru o companie mică, aceasta este mai mare decât credeți:

• site-ul dumneavoastră web, cu CMS-ul, pluginurile și pagina de administrare;
• e-mailul dumneavoastră: căsuțele de e-mail, dar și domeniul dumneavoastră, pe care un escroc îl poate imita dacă SPF, DKIM și DMARC nu sunt configurate corect (modul 4);
• toate conturile online: bancă, contabilitate, platforma de magazin online, rețele sociale, registratorul domeniului dumneavoastră;
• dispozitivele: laptopuri, telefoane, routerul, discul de rețea, imprimanta;
• oamenii: toți cei care citesc e-mailuri, plătesc facturi sau răspund la telefon;
• furnizorii dumneavoastră: dezvoltatorul de site-uri web cu cont de administrator, firma IT cu acces la distanță (modul 7).

Fiecare componentă pe care nu o mai folosiți, dar care rămâne online, este o suprafață în plus, fără niciun folos. Un site de test vechi la test.example.com, un cont FTP uitat de la un fost dezvoltator de site-uri, un cont la un serviciu pe care l-ați reziliat acum trei ani: nimeni nu mai acordă atenție acestora, așadar acolo se găsesc vulnerabilitățile.

Capcane de gândire

„Noi nu avem nimic valoros."

Aveți, în orice caz, un cont bancar, o căsuță de e-mail în care au încredere clienții și date ale clienților. Este suficient.

„Avem antivirus, deci suntem în siguranță."

Antivirusul ajută împotriva unei părți din programele malițioase. Nu face nimic împotriva unui coleg care plătește o factură care pare autentică, dar cu un alt număr de cont, sau împotriva unei parole care a fost scursă pe un alt site.

„Firma noastră IT se ocupă de asta."

Poate. Dar știți exact ce anume se ocupă să rezolve? O firmă IT se ocupă adesea de actualizări și de un antivirus, dar nu și de procedura dumneavoastră de plată, de politica dumneavoastră privind parolele sau de accesul dezvoltatorului dumneavoastră de site-uri web. Cine face ce trebuie stabilit clar (modul 7).

„Nouă nu ni se poate întâmpla, nu s-a întâmplat niciodată."

Adesea pur și simplu nu știți. O căsuță de e-mail preluată poate fi citită pe ascuns luni de zile înainte ca cineva să abuzeze de ea.

În practică: cum arată situația

Un exemplu, alcătuit din situații care apar frecvent. Un mic cabinet de contabilitate (patru angajați) avea un site web construit pe un CMS de către un fost dezvoltator de site-uri web. Nimeni nu se mai autentifica acolo, așa că nimeni nu vedea notificările privind actualizările. Într-o dimineață de luni, în căsuța de e-mail a apărut o notificare din partea furnizorului de găzduire: de pe site erau răspândite pagini de phishing. Din jurnale a reieșit că un scanner găsise o vulnerabilitate cunoscută într-un plugin vechi de formulare, în aceeași zi cu sute de alte site-uri. Cabinetul nu fusese niciodată „ales". Repararea a durat o săptămână, iar numele de domeniu a rămas o perioadă pe o listă de blocare, din cauza căreia e-mailurile cabinetului ajungeau la clienți în spam.

Vulnerabilitatea ar fi putut fi evitată printr-o singură actualizare. Despre asta este vorba în restul acestui curs: nu despre o securitate perfectă, ci despre elementele de bază care opresc atacurile ieftine, în masă.

Rezumat

• Un risc este combinația dintre o amenințare și o vulnerabilitate: probabilitate x impact.
• Majoritatea atacurilor asupra companiilor mici sunt oportuniste: mai întâi punctul slab, abia apoi victima.
• Automatizarea și criminalitatea cibernetică ca serviciu ieftinesc atacurile, deci merită să fie îndreptate spre toată lumea.
• Aproape totul se învârte în jurul banilor: plăți false, răscumpărare, revânzarea datelor sau folosirea abuzivă a sistemelor dumneavoastră.
• Suprafața dumneavoastră de atac este formată din site web, e-mail și domeniu, conturi, dispozitive, oameni și furnizori; componentele uitate sunt cele mai periculoase.

Test

Exercițiu

Exercițiul A1.1: Amenințare, vulnerabilitate și risc. Primiți patru situații scurte din companii mici. Indicați pentru fiecare situație care este amenințarea și care este vulnerabilitatea, și estimați probabilitatea și impactul (scăzut, mediu, ridicat). Apoi ordonați cele patru situații de la cel mai mare la cel mai mic risc. Programul vă verifică răspunsurile și explică motivul pentru fiecare situație.

Exercițiul D1.1: Suprafața dumneavoastră de atac în hartă. Întocmiți o listă cu tot ce are compania dumneavoastră online: site-uri web și subdomenii, conturi, dispozitive conectate la exterior și cine are acces din exterior. Notați la fiecare componentă dacă o mai folosiți și cine este proprietarul.

Resurse suplimentare

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori procedura este similară.

• Ajutor! Site-ul meu a fost spart. Cum pot rezolva sau preveni acest lucru?
• Verificare de securitate cibernetică pentru persoane fizice autorizate și IMM-uri, oferită de autoritatea națională de securitate cibernetică (sursă din Țările de Jos): https://tools.ncsc.nl/cyberveilig-check/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (în engleză): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/