Miks väikeettevõtted on sihtmärgiks

Moodul 1: Miks oled just sina sihtmärk · Lugemisaeg: 9 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, kuidas ründajad töötavad (automatiseeritult, raha nimel, oportunistlikult) ja miks väide "me oleme liiga väikesed" ei pea paika.
Põhimõisted: oht, haavatavus, risk, oportunistlik rünne, suunatud rünne, küberkuritegevus teenusena, ründepind

"Mida nad meilt ikka tahavad?"

Seda küsimust kuuleb peaaegu igas väikeettevõttes. Pagariäri, kolmeliikmeline raamatupidamisbüroo, jalgpalliklubi: on ju suuremaid kalu ka? Mõte selle taga on, et ründaja valib kõigepealt sihtmärgi ja hakkab seejärel otsima, kuidas sisse pääseda. Väikese osa rünnete puhul see nii ongi. Valdava enamuse puhul käib see aga täpselt vastupidi: ründaja otsib kõigepealt nõrka kohta ja talle on üsna ükskõik, kellele see kuulub.

Selle mõistmiseks vajad kolme mõistet, mis käivad läbi kogu selle kursuse.

• Oht on midagi, mis võib kahju tekitada: petis, kes saadab valearveid, lunavara, kolleeg, kes saadab kogemata vale faili.
• Haavatavus on nõrk koht, mille kaudu see oht saab realiseeruda: parool, mida kasutad ka veebipoes, pistikprogramm, mis pole aastat uuendatud, maksesüsteem ilma kontrollita.
• Risk on kombinatsioon: kui suur on tõenäosus, et oht leiab haavatavuse kaudu tee sisse, ja kui tõsine see siis on? Tihti kirjutatakse see valemina risk = tõenäosus x mõju.

Ettevõtet ilma haavatavusteta ei ole olemas. Seetõttu ei ole turvalisuse eesmärk "null riski", vaid suurimate riskide vähendamine tasemeni, millega saab elada.

Oportunistlik või suunatud

Rünnakuid on laias laastus kahte liiki.

Suunatud rünnaku puhul valib ründaja välja ühe organisatsiooni. Ta uurib, kes seal töötavad, kes maksab arveid, millised on tarnijad, ja kohandab rünnaku vastavalt. See võtab aega, seega peab see midagi sisse tooma. Mõtle petisele, kes teab, et su ettevõte maksab sel kuul suure masina eest, ja saadab just siis tarnija nimel "muudetud kontonumbriga" arve.

Oportunistliku rünnaku puhul on asi vastupidi. Ründaja keskendub nõrgale kohale, mis esineb tuhandetes organisatsioonides korraga, ja võtab, mida leiab. Sinu ettevõtet isiklikult ei valita, oled lihtsalt üks aadress nimekirjas.

Väikeettevõtteid tabab eelkõige teine liik. See ei ole ebaõnn, vaid matemaatika: kui rünnaku kordamine ei maksa midagi, tasub seda suunata kõigi peale.

Kuidas automatiseerimine muudab rünnaku odavaks

Ründaja ei istu käsitsi IP-aadresse sisestamas. Ta kasutab programme, mis otsivad internetti läbi ööd ja päevad. Selline skanner küsib aadress aadressi järel: milline teenus siin töötab, milline versioon, kas sisselogimisleht on avatud? Mõne tunniga on suur osa internetist läbi käidud.

Oletame, et avastatakse haavatavus laialt levinud veebipoe pistikprogrammis. Järgmisel päeval otsib skanner üles kõik saidid, kus see pistikprogramm on kasutusel. Ta leiab advokaadibüroo veebipoe, mille poole pole keegi enam vaadanud, ühingu veebilehe ja pagariäri Example saidi www.example.com. Skanner ei tea ega hoolgi, mis on pagariäri. Ta näeb ainult: vana versioon, seega sihtmärk.

Sama kehtib sisselogimise kohta. Nimekirjad miljonite lekkinud e-posti aadressi ja parooli kombinatsioonidega proovitakse automaatselt läbi meili-, raamatupidamis- ja sotsiaalmeediakontodel (õppetund 1.4). Ja andmepüügikirjad saadetakse välja suurtes kogustes; kui väike osa saajatest klõpsab, on kampaania juba kasumlik.

Lisaks ei pea sa enam ise häkker olema, et rünnata. On tekkinud terve turg nimega küberkuritegevus teenusena: üks arendab lunavara ja rendib seda välja, teine müüb varastatud sisselogimisandmeid, kolmas müüb juurdepääsu ettevõtete võrkudele, mis on juba lahti. Microsoft kirjeldab oma turvablogis, kuidas varastatud andmeid pakendatakse, edasi müüakse ja lõpuks pakutakse ettevõtetesse sissepääsuna. Seega on osalemise lävend madal ja ründajate arv suur.

Kuhu raha liigub

Peaaegu kõik väikeettevõtete vastu suunatud rünnakud keerlevad raha ümber. Raha jõuab kohale mitmel viisil:

1. Otsene maksmine. Sina või su kolleeg kannab raha vale konto peale: võlts arve, "juhi" kiireloomuline palve (õppetund 1.2).
2. Lunaraha. Su failid krüpteeritakse ja pead maksma, et need tagasi saada, või et vältida varastatud andmete avalikustamist (õppetund 1.3).
3. Edasimüük. Sisselogimisandmed, kliendiandmed või ligipääs sinu süsteemidele müüakse kellelegi, kes neid soovib (õppetund 1.4).
4. Sinu süsteemide ärakasutamine. Sinu postkast saadab rämpsposti, sinu veebileht levitab pahavara, sinu server kaevandab krüptoraha. Sina maksad arve halva maine või blokeeritud e-posti aadressi näol.
5. Sinu kaudu kellegi teiseni. Oled suurema ettevõtte tarnija. Ründaja, kes võtab üle sinu postkasti, saab sinu nimel saata valearveid su klientidele.

Väikeettevõtted on seejuures atraktiivsed kahel põhjusel. Neil on kontol raha ja nad maksavad arveid, kuid sageli pole neil IT-osakonda, nelja silma põhimõtet maksete puhul ega korralikult hooldatud varukoopiat. See suurendab õnnestumise tõenäosust.

Sinu ründepind

Kõike, mida ründaja saab väljastpoolt proovida, nimetatakse sinu ründepinnaks. Väikeettevõtte puhul on see suurem kui arvad:

• sinu veebileht koos CMS-i, pistikprogrammide ja haldusleheküljega;
• sinu e-post: postkastid, aga ka sinu domeen, mida petis saab jäljendada, kui SPF, DKIM ja DMARC pole korralikult seadistatud (moodul 4);
• kõik veebikontod: pank, raamatupidamine, veebipoeplatvorm, sotsiaalmeedia, domeeniregistripidaja;
• seadmed: sülearvutid, telefonid, ruuter, võrgukettad, printer;
• inimesed: igaüks, kes loeb kirju, maksab arveid või võtab telefoni vastu;
• sinu tarnijad: veebiarendaja halduskontoga, IT-ettevõte kaugligipääsuga (moodul 7).

Iga osa, mida enam ei kasuta, aga mis on ikka veel veebis, on kasutu lisapind. Vana testsait aadressil test.example.com, unustatud FTP-konto eelmise veebiarendaja kontole, konto teenuses, millest loobusid kolm aastat tagasi: keegi enam ei vaata nende peale, seal on haavatavused.

Mõtlemisvead

"Meil pole midagi väärtuslikku."

Sul on vähemalt pangakonto, postkast, mida kliendid usaldavad, ja klientide andmed. Sellest piisab.

"Meil on viirusetõrje, seega oleme kaitstud."

Viirusetõrje aitab osa pahavara vastu. See ei tee midagi kolleegi vastu, kes maksab ehtsana näiva arve vale kontonumbriga, ega parooli vastu, mis on lekkinud mõnest teisest teenusest.

"Meie IT-ettevõte tegeleb sellega."

Võib-olla. Aga kas tead, mida nad teevad? IT-ettevõte hoolitseb tihti uuenduste ja viirusetõrje eest, kuid mitte maksete protseduuri, parooliteabe ega veebiarendaja juurdepääsu eest. Kes mida teeb, tuleb kokku leppida (moodul 7).

"Meiega ei juhtu seda, pole kunagi juhtunud."

Sageli lihtsalt ei tea sa seda. Ülevõetud postkasti saab kuude kaupa märkamatult jälgida, enne kui keegi seda ära kasutab.

Praktikas: nii see välja näeb

Näide, mis on koostatud sageli esinevate olukordade põhjal. Väike raamatupidamisbüroo (neli töötajat) kasutas veebilehte CMS-il, mille oli ehitanud eelmine veebiarendaja. Keegi enam sinna ei loginud, seega ei näinud keegi ka uuenduste teateid. Ühel esmaspäeva hommikul oli postkastis majutusteenuse pakkuja teade: saidilt levitati andmepüügilehti. Logidest selgus, et skanner oli leidnud tuntud haavatavuse vanas vormipistikprogrammis, samal päeval sadade teiste saitidega. Büroo ei olnud kunagi "välja valitud". Taastamine võttis nädala aega ja domeeninimi oli mõnda aega blokeerimisnimekirjas, mistõttu büroo kirjad sattusid klientide juures rämpsposti kausta.

Haavatavust oleks saanud vältida ühe uuendusega. Sellest räägib ka ülejäänud kursus: mitte täiuslikust turvalisusest, vaid alustest, mis peatavad odavad, massilised rünnakud.

Kokkuvõte

• Risk on ohu ja haavatavuse kombinatsioon: tõenäosus x mõju.
• Enamik väikeettevõtete vastu suunatud rünnakuid on oportunistlikud: kõigepealt nõrk koht, alles seejärel ohver.
• Automatiseerimine ja küberkuritegevus teenusena muudavad rünnakud odavaks, seetõttu tasub neid suunata kõigi peale.
• Peaaegu kõik keerleb raha ümber: valed maksed, lunaraha, andmete edasimüük või süsteemide ärakasutamine.
• Sinu ründepind koosneb veebilehest, e-postist ja domeenist, kontodest, seadmetest, inimestest ja tarnijatest; unustatud osad on kõige ohtlikumad.

Test

Ülesanne

Ülesanne A1.1: Oht, haavatavus ja risk. Saad neli lühikest olukorda väikeettevõtetest. Märgi iga olukorra kohta, mis on oht ja mis on haavatavus, ning hinda tõenäosust ja mõju (madal, keskmine, kõrge). Järjesta seejärel kõik neli suurimast riskist väikseimani. Programm kontrollib su vastused ja selgitab iga olukorra kohta, miks.

Ülesanne D1.1: Sinu ründepind kaardistatuna. Koosta loend kõigest, mis su ettevõttel veebis on: veebilehed ja alamdomeenid, kontod, väljapoole ühendusega seadmed ning kes saab väljastpoolt ligipääsu. Märgi iga osa juurde, kas kasutad seda ikka veel ja kes on selle omanik.

Loe edasi

WebOké artiklites kirjeldatud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate puhul töötab see sarnaselt.

• Appi! Minu sait on häkitud. Kuidas seda parandada või ennetada?
• RIA soovitused väikeettevõtjatele ja FIE-dele: https://www.ria.ee/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (inglise keeles): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/