Miért a kisvállalkozások is célpontok

Modul 1: Miért Ön is célpont · Olvasási idő: 9 perc

Tanulási cél: A lecke végén el tudja magyarázni, hogyan dolgoznak a támadók (automatizáltan, pénzre hajtva, opportunista módon), és miért nem igaz az, hogy "mi túl kicsik vagyunk ehhez".
Kulcsfogalmak: fenyegetés, sebezhetőség, kockázat, opportunista támadás, célzott támadás, kiberbűnözés mint szolgáltatás, támadási felület

"Mit akarnának tőlünk?"

Ezt a kérdést szinte minden kisvállalkozásnál hallani. Egy pékség, egy háromfős könyvelőiroda, egy futballegyesület: biztosan vannak náluk nagyobb halak is. A kérdés mögött az a feltételezés húzódik, hogy a támadó előbb kiválaszt egy célpontot, majd ezután keresi meg a bejutási módot. A támadásoknak csak kis részénél igaz ez. A túlnyomó többségnél pont fordítva működik: a támadó először egy gyenge pontot keres, és alig érdekli, hogy az kié.

Ennek megértéséhez három fogalomra van szükség, amelyek a teljes tanfolyam során visszatérnek.

• A fenyegetés valami olyan dolog, ami kárt okozhat: egy csaló, aki hamis számlákat küld, egy zsarolóvírus, egy kolléga, aki véletlenül rossz fájlt oszt meg.
• A sebezhetőség egy gyenge pont, amelyen keresztül a fenyegetés kárt tud okozni: egy jelszó, amelyet egy webáruháznál is használ, egy bővítmény, amely egy éve nem kapott frissítést, egy ellenőrzés nélküli fizetési folyamat.
• A kockázat a kettő kombinációja: mekkora az esélye annak, hogy egy fenyegetés egy sebezhetőségen keresztül kárt okoz, és akkor mekkora lesz a kár? Ezt gyakran így írják le: kockázat = valószínűség x hatás.

Olyan vállalkozás nem létezik, amelynek nincsenek sebezhetőségei. A biztonság célja ezért nem a "nulla kockázat", hanem az, hogy a legnagyobb kockázatokat annyira csökkentsük, hogy együtt tudjunk velük élni.

Opportunista vagy célzott

Nagyjából kétféle támadás létezik.

A célzott támadásnál a támadó egyetlen szervezetet választ ki. Kideríti, ki dolgozik ott, ki fizeti a számlákat, milyen beszállítói vannak, és ehhez igazítja a támadást. Ez időbe kerül, tehát valamit hoznia is kell. Gondoljon egy csalóra, aki tudja, hogy az Ön vállalkozása ebben a hónapban egy nagyobb gép árát egyenlíti ki, és pontosan ekkor küld egy "megváltozott számlaszámról" szóló üzenetet a beszállító nevében.

Az opportunista támadásnál fordítva van. A támadó egy olyan gyenge pontra fókuszál, amely egyszerre több ezer szervezetnél is előfordul, és elviszi, amit talál. Nincs személyes döntés az Ön vállalkozásáról. Ön egyszerűen csak az egyik cím a listán.

A kisvállalkozásokat elsősorban a második típus érinti. Ez nem balszerencse, hanem matematika: ha egy támadás megismétlése szinte semmibe nem kerül, megéri mindenkire ráereszteni.

Hogyan teszi olcsóvá a támadást az automatizálás

A támadó nem kézzel gépeli be az IP-címeket. Olyan programokat használ, amelyek éjjel-nappal pásztázzák az internetet. Egy ilyen szkenner címről címre haladva kérdezi: milyen szolgáltatás fut itt, milyen verzió, van-e nyitva bejelentkezési oldal? Néhány óra alatt az internet jelentős részét végigvizsgálja.

Tegyük fel, hogy kiderül egy biztonsági rés egy gyakran használt webáruház-bővítményben. Másnap egy szkenner megkeresi az összes olyan oldalt, amely ezt a bővítményt használja. Megtalálja egy ügyvédi iroda webáruházát, amely soha többé nem nézett rá az oldalára, egy egyesület weboldalát, és a www.example.com címet is, amely az Example Pékségé. A szkennernek fogalma sincs, mi az a pékség, és nem is érdekli. Csak annyit lát: régi verzió, tehát talált.

Ugyanez történik a bejelentkezésekkel is. Milliónyi kiszivárgott e-mail cím és jelszó párost próbálnak ki automatikusan levelezésen, könyvelésen és közösségi médián (1.4. lecke). Az adathalász levelek pedig nagy tömegben mennek ki; ha a címzettek kis hányada kattint, a kampány már nyereséges.

Mindehhez hozzájárul, hogy mára már nem kell hackernek lennie ahhoz, hogy valaki támadást indítson. Kialakult egy teljes piac a kiberbűnözés mint szolgáltatás köré: az egyik fél kifejleszti és bérbe adja a zsarolóvírust, a másik ellopott bejelentkezési adatokat árul, a harmadik olyan vállalati hálózatokhoz biztosít hozzáférést, amelyek már nyitva állnak. A Microsoft a biztonsági blogján leírja, hogyan csomagolják, adják tovább, majd végül hogyan kínálják vállalatokhoz való hozzáférésként az ellopott adatokat. A csatlakozás küszöbe ezáltal alacsony, a támadók száma pedig nagy.

Hol van a pénz

A kisvállalkozások elleni támadások szinte mindegyike pénzről szól. Ez a pénz néhány módon folyik be:

1. Közvetlen fizetés. Ön vagy egy kollégája rossz számlára utal pénzt: egy hamis számla, egy "az ügyvezetőtől" érkező sürgős kérés (1.2. lecke).
2. Váltságdíj. A fájljait titkosítják, és fizetnie kell, hogy visszakapja őket, vagy hogy megakadályozza az ellopott adatok nyilvánosságra kerülését (1.3. lecke).
3. Továbbértékesítés. A bejelentkezési adatokat, ügyféladatokat vagy a rendszereihez való hozzáférést eladják annak, aki tud vele mit kezdeni (1.4. lecke).
4. A rendszerei felhasználása. A postafiókja kéretlen levelet küld, a weboldala kártevőt terjeszt, a szervere kriptovalutát bányász. Ön ennek az árát egy rossz hírnév vagy egy letiltott levelezési cím formájában fizeti meg.
5. Önön keresztül máshoz. Ön egy nagyobb vállalat beszállítója. Egy támadó, aki átveszi a postafiókját, az Ön nevében küldhet hamis számlákat az ügyfeleinek.

A kisvállalkozások két okból is vonzóak. Van pénz a számlájukon, és fizetik a számláikat, de gyakran nincs saját informatikai részlegük, nincs négyszemes elv a fizetéseknél, és nincs gondosan karbantartott biztonsági mentésük sem. Ez növeli a sikeres támadás esélyét.

Az Ön támadási felülete

Mindazt, amit egy támadó kívülről megpróbálhat, támadási felületnek nevezzük. Egy kisvállalkozás esetében ez nagyobb, mint gondolná:

• a weboldala, a CMS-szel, a bővítményekkel és a kezelőfelülettel együtt;
• az e-mailje: a postafiókok, de a domain is, amelyet egy csaló utánozhat, ha az SPF, DKIM és DMARC beállítások nincsenek rendben (4. modul);
• minden online fiók: bank, könyvelés, webáruház-platform, közösségi média, a domainje regisztrátora;
• az eszközök: laptopok, telefonok, a router, a hálózati meghajtó, a nyomtató;
• az emberek: mindenki, aki levelet olvas, számlát fizet vagy telefont vesz fel;
• a beszállítói: a weboldalkészítő, akinek adminisztrátori fiókja van, az informatikai cég, amely távoli hozzáféréssel rendelkezik (7. modul).

Minden olyan rész, amelyet már nem használ, de még mindig online van, felesleges, extra felületet jelent. Egy régi tesztoldal a test.example.com címen, egy korábbi weboldalkészítő elfelejtett FTP-fiókja, egy fiók egy szolgáltatásnál, amelyet három éve mondott le: ezekre már senki sem figyel, tehát ott vannak a sebezhetőségek.

Gondolkodási csapdák

"Nekünk nincs semmi értékes dolgunk."

Van legalább egy bankszámlája, egy postafiókja, amelyben az ügyfelei megbíznak, és ügyféladatai. Ez bőven elég.

"Van víruskeresőnk, tehát biztonságban vagyunk."

A víruskereső a kártevő szoftverek egy részénél segít. Semmit sem ér azzal szemben, hogy egy kolléga valódinak tűnő, de más számlaszámot tartalmazó számlát fizet ki, vagy hogy egy jelszó egy másik oldalon szivárgott ki.

"Ezt az informatikai cégünk intézi."

Lehet. De tudja, mit intéznek pontosan? Egy informatikai cég gyakran gondoskodik a frissítésekről és a víruskeresőről, de nem a fizetési eljárásáról, a jelszópolitikájáról vagy a weboldalkészítő hozzáféréséről. Azt, hogy ki miért felel, meg kell beszélni (7. modul).

"Velünk ez nem fordulhat elő, még sosem történt."

Sokszor egyszerűen csak nem tud róla. Egy átvett postafiókot hónapokig figyelemmel kísérhetnek észrevétlenül, mielőtt valaki visszaélne vele.

A gyakorlatban: így néz ki

Egy példa, gyakori helyzetekből összeállítva. Egy kis könyvelőiroda (négy fő) weboldala olyan CMS-en futott, amelyet a korábbi weboldalkészítő épített. Senki sem jelentkezett be oda többé, tehát senki sem látta a frissítési értesítéseket. Egy hétfő reggelen a tárhelyszolgáltató üzenete várta őket a postafiókjukban: az oldalról adathalász oldalakat terjesztettek. A naplókból kiderült, hogy egy szkenner egy ismert biztonsági rést talált egy régi űrlap-bővítményben, ugyanazon a napon, mint több száz másik oldal esetében. Az irodát sosem "választották ki". A helyreállítás egy hétig tartott, és a domainnév egy ideig feketelistán szerepelt, így az iroda levelei az ügyfeleknél a levélszemét mappába kerültek.

A biztonsági rést egyetlen frissítéssel el lehetett volna kerülni. Erről szól a tanfolyam többi része: nem a tökéletes biztonságról, hanem azokról az alapokról, amelyek megakadályozzák az olcsó, tömeges támadásokat.

Összefoglalás

• A kockázat egy fenyegetés és egy sebezhetőség kombinációja: valószínűség x hatás.
• A kisvállalkozások elleni támadások többsége opportunista: előbb a gyenge pont, csak azután az áldozat.
• Az automatizálás és a kiberbűnözés mint szolgáltatás olcsóvá teszi a támadásokat, tehát megéri mindenkire ráereszteni őket.
• Szinte minden pénzről szól: hamis kifizetések, váltságdíj, adatok továbbértékesítése vagy a rendszerekkel való visszaélés.
• Az Ön támadási felülete a weboldalból, levelezésből és domainből, fiókokból, eszközökből, emberekből és beszállítókból áll; az elfeledett részek a legveszélyesebbek.

Kvíz

Feladat

A1.1 feladat: Fenyegetés, sebezhetőség és kockázat. Négy rövid, kisvállalkozásokból vett helyzetet kap. Helyzetenként adja meg, mi a fenyegetés és mi a sebezhetőség, és becsülje meg a valószínűséget és a hatást (alacsony, közepes, magas). Ezután állítsa sorrendbe a négyet a legnagyobb kockázattól a legkisebbig. A program ellenőrzi a válaszait, és helyzetenként elmagyarázza, miért.

D1.1 feladat: Az Ön támadási felületének feltérképezése. Készítsen listát mindenről, amivel vállalkozása online jelen van: weboldalak és aldomainek, fiókok, kifelé kapcsolódó eszközök, és hogy kinek van kívülről hozzáférése. Jegyezze fel minden elemnél, hogy még használja-e, és ki a tulajdonosa.

További olvasnivaló

A WebOké-cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Segítség! Feltörték a weboldalamat. Hogyan háríthatom el, és hogyan előzhetem meg?
• NKI ajánlásai kisvállalkozások és egyéni vállalkozók számára: https://nki.gov.hu/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (angol nyelven): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/