Dlaczego małe firmy są celem ataków

Moduł 1: Dlaczego Państwa firma jest celem · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, jak działają atakujący (automatycznie, w sposób nastawiony na zysk finansowy, okazjonalnie) oraz dlaczego stwierdzenie "jesteśmy za mali" jest błędne.
Kluczowe pojęcia: zagrożenie, podatność, ryzyko, atak okazjonalny, atak ukierunkowany, cyberprzestępczość jako usługa, powierzchnia ataku

"Po co mielibyśmy ich interesować?"

To pytanie słychać niemal w każdej małej firmie. Piekarnia, biuro rachunkowe zatrudniające trzy osoby, klub piłkarski: przecież są większe ryby do złowienia? Takie podejście zakłada, że atakujący najpierw wybiera cel, a dopiero potem szuka sposobu, by się do niego dostać. W przypadku niewielkiej części ataków tak rzeczywiście jest. W zdecydowanej większości przypadków działa to jednak dokładnie odwrotnie: atakujący najpierw szuka słabego punktu, a to, do kogo on należy, niewiele go obchodzi.

Aby dobrze to zrozumieć, potrzebne są trzy pojęcia, które powracają w całym tym kursie.

• Zagrożenie to coś, co może spowodować szkodę: oszust wysyłający fałszywe faktury, oprogramowanie ransomware, współpracownik, który przez pomyłkę udostępnia niewłaściwy plik.
• Podatność to słaby punkt, przez który zagrożenie może zadziałać: hasło używane również w sklepie internetowym, wtyczka, która od roku nie otrzymała aktualizacji, proces płatności bez żadnej kontroli.
• Ryzyko to połączenie obu tych elementów: jak duże jest prawdopodobieństwo, że zagrożenie wykorzysta podatność, i jak poważne będą tego skutki? Często zapisuje się to jako ryzyko = prawdopodobieństwo x skutki.

Firma bez żadnych podatności nie istnieje. Celem zabezpieczeń nie jest więc "zerowe ryzyko", lecz zmniejszenie największych ryzyk do poziomu, z którym można żyć.

Atak okazjonalny czy ukierunkowany

Istnieją w zasadzie dwa rodzaje ataków.

W przypadku ataku ukierunkowanego atakujący wybiera jedną konkretną organizację. Sprawdza, kto w niej pracuje, kto opłaca faktury, jacy są dostawcy, i dopasowuje do tego swój atak. To kosztuje czas, więc musi się opłacać. Przykładem jest oszust, który wie, że Państwa firma w tym miesiącu rozlicza zakup dużej maszyny, i właśnie wtedy przesyła "zmieniony numer konta" rzekomo od dostawcy.

W przypadku ataku okazjonalnego jest odwrotnie. Atakujący koncentruje się na słabym punkcie, który występuje jednocześnie u tysięcy organizacji, i wykorzystuje to, co znajdzie. Nie ma żadnego osobistego wyboru dotyczącego Państwa firmy. Są Państwo po prostu jednym z adresów na liście.

Małe firmy padają ofiarą przede wszystkim tego drugiego rodzaju ataków. To nie jest pech, to matematyka: jeśli powtórzenie ataku nic nie kosztuje, opłaca się przeprowadzić go na wszystkich naraz.

Jak automatyzacja obniża koszt ataku

Atakujący nie wpisuje ręcznie adresów IP. Korzysta z programów, które dniem i nocą przeszukują internet. Taki skaner pyta kolejno każdy adres: jaka usługa tu działa, w jakiej wersji, czy jest dostępna strona logowania? W ciągu kilku godzin przeszukiwana jest znaczna część internetu.

Załóżmy, że ujawniona zostaje luka w powszechnie używanej wtyczce do sklepów internetowych. Następnego dnia skaner szuka wszystkich stron korzystających z tej wtyczki. Znajduje sklep internetowy kancelarii prawnej, która nigdy więcej nie zajrzała na swoją stronę, stronę stowarzyszenia oraz www.example.com piekarni Example. Skaner nie wie, czym jest piekarnia, i zupełnie go to nie interesuje. Widzi tylko: stara wersja, czyli trafiony cel.

To samo dzieje się przy logowaniu. Listy milionów wyciekłych kombinacji adresu e-mail i hasła są automatycznie sprawdzane w poczcie, księgowości i mediach społecznościowych (lekcja 1.4). Wiadomości phishingowe wysyłane są w dużych ilościach; jeśli choćby niewielka część odbiorców kliknie, kampania jest już opłacalna.

Do tego dochodzi fakt, że nie trzeba już samemu być hakerem, aby przeprowadzić atak. Powstał cały rynek cyberprzestępczości jako usługi: jedna osoba tworzy oprogramowanie ransomware i wynajmuje je innym, druga sprzedaje skradzione dane logowania, trzecia sprzedaje dostęp do sieci firmowych, które są już otwarte. Microsoft opisuje na swoim blogu poświęconym bezpieczeństwu, w jaki sposób skradzione dane są łączone w pakiety, odsprzedawane i ostatecznie oferowane jako gotowy dostęp do firm. Próg wejścia jest dzięki temu niski, a liczba atakujących duża.

Gdzie są pieniądze

Niemal wszystkie ataki na małe firmy kręcą się wokół pieniędzy. Pieniądze te trafiają do atakujących na kilka sposobów:

1. Bezpośrednia płatność. Państwo lub współpracownik przelewają pieniądze na niewłaściwe konto: fałszywa faktura, pilna prośba "od dyrektora" (lekcja 1.2).
2. Okup. Pliki zostają zaszyfrowane i trzeba zapłacić, aby je odzyskać, albo żeby zapobiec ujawnieniu skradzionych danych (lekcja 1.3).
3. Odsprzedaż. Dane logowania, dane klientów lub dostęp do systemów są sprzedawane temu, kto chce z nich skorzystać (lekcja 1.4).
4. Wykorzystanie Państwa systemów. Skrzynka pocztowa rozsyła spam, strona internetowa rozprzestrzenia złośliwe oprogramowanie, serwer wydobywa kryptowaluty. Płacą Państwo rachunek w postaci złej reputacji lub zablokowanego adresu e-mail.
5. Przez Państwa do kogoś innego. Są Państwo dostawcą większej firmy. Atakujący, który przejmie Państwa skrzynkę pocztową, może w Państwa imieniu wysyłać fałszywe faktury do Państwa klientów.

Małe firmy są atrakcyjnym celem z dwóch powodów. Mają środki na koncie i opłacają faktury, ale często nie mają działu IT, zasady podwójnej kontroli przy płatnościach ani dobrze prowadzonej kopii zapasowej. To zwiększa szanse powodzenia ataku.

Państwa powierzchnia ataku

Wszystko, co atakujący może spróbować wykorzystać z zewnątrz, nazywa się powierzchnią ataku. Dla małej firmy jest ona większa, niż mogłoby się wydawać:

• Państwa strona internetowa, z systemem CMS, wtyczkami i panelem administracyjnym;
• Państwa poczta e-mail: skrzynki pocztowe, ale też domena, którą oszust może podszyć się, jeśli SPF, DKIM i DMARC nie są poprawnie skonfigurowane (moduł 4);
• wszystkie konta online: bank, księgowość, platforma sklepu internetowego, media społecznościowe, rejestrator Państwa domeny;
• urządzenia: laptopy, telefony, router, dysk sieciowy, drukarka;
• ludzie: każdy, kto czyta pocztę, opłaca faktury lub odbiera telefon;
• Państwa dostawcy: twórca strony internetowej z kontem administratora, firma IT z dostępem zdalnym (moduł 7).

Każdy element, z którego już Państwo nie korzystają, ale który nadal jest dostępny online, to dodatkowa powierzchnia ataku bez żadnej korzyści. Stara strona testowa pod adresem test.example.com, zapomniane konto FTP po poprzednim twórcy strony, konto w usłudze, z której Państwo zrezygnowali trzy lata temu: nikt już na to nie zwraca uwagi, dlatego właśnie tam kryją się podatności.

Pułapki w myśleniu

"Nie mamy niczego wartościowego."

Mają Państwo przynajmniej konto bankowe, skrzynkę pocztową, której ufają klienci, oraz dane klientów. To wystarczy.

"Mamy antywirusa, więc jesteśmy bezpieczni."

Antywirus pomaga przed częścią szkodliwego oprogramowania. Nie pomaga jednak, gdy współpracownik opłaci wiarygodnie wyglądającą fakturę z innym numerem konta, ani gdy hasło wycieknie z innej strony.

"Nasza firma IT się tym zajmuje."

Być może. Ale czy wiedzą Państwo, czym dokładnie się zajmuje? Firma IT często dba o aktualizacje i program antywirusowy, ale nie o Państwa procedurę płatności, zasady dotyczące haseł czy dostęp twórcy strony internetowej. To, kto za co odpowiada, trzeba ustalić (moduł 7).

"Nam się to nie zdarzy, jeszcze nigdy się nie zdarzyło."

Często po prostu Państwo o tym nie wiedzą. Przejęta skrzynka pocztowa może być czytana przez miesiące, zanim ktoś to wykorzysta.

W praktyce: tak to wygląda

Przykład oparty na sytuacjach, które zdarzają się często. Małe biuro rachunkowe (cztery osoby) miało stronę internetową zbudowaną na systemie CMS przez poprzedniego twórcę strony. Nikt już się tam nie logował, więc nikt nie widział powiadomień o aktualizacjach. W poniedziałkowy poranek w skrzynce pocztowej pojawiło się powiadomienie od dostawcy hostingu: ze strony rozsyłane były strony phishingowe. Z logów wynikało, że skaner znalazł znaną lukę w starej wtyczce formularzy, tego samego dnia co w setkach innych stron. Biuro nigdy nie zostało "wybrane". Usunięcie skutków zajęło tydzień, a nazwa domeny przez pewien czas znajdowała się na liście blokad, przez co poczta biura trafiała do klientów do folderu spam.

Tej luce można było zapobiec jedną aktualizacją. Właśnie o tym jest reszta tego kursu: nie o doskonałym zabezpieczeniu, lecz o podstawach, które powstrzymują tanie, masowe ataki.

Podsumowanie

• Ryzyko to połączenie zagrożenia i podatności: prawdopodobieństwo x skutki.
• Większość ataków na małe firmy ma charakter okazjonalny: najpierw słaby punkt, dopiero potem ofiara.
• Automatyzacja i cyberprzestępczość jako usługa obniżają koszt ataków, więc opłaca się je kierować na wszystkich naraz.
• Niemal wszystko kręci się wokół pieniędzy: fałszywe płatności, okup, odsprzedaż danych lub wykorzystanie Państwa systemów.
• Państwa powierzchnia ataku obejmuje stronę internetową, pocztę i domenę, konta, urządzenia, ludzi i dostawców; zapomniane elementy są najbardziej niebezpieczne.

Quiz

Zadanie

Zadanie A1.1: Zagrożenie, podatność i ryzyko. Otrzymają Państwo cztery krótkie sytuacje z małych firm. Dla każdej z nich proszę wskazać, czym jest zagrożenie, a czym podatność, oraz oszacować prawdopodobieństwo i skutki (niskie, średnie, wysokie). Następnie proszę ułożyć te cztery sytuacje w kolejności od największego do najmniejszego ryzyka. Program sprawdzi odpowiedzi i wyjaśni, dlaczego są one poprawne lub nie, dla każdej sytuacji.

Zadanie D1.1: Mapa powierzchni ataku. Proszę sporządzić listę wszystkiego, co Państwa firma ma online: strony internetowe i subdomeny, konta, urządzenia z połączeniem na zewnątrz oraz osoby, które mają dostęp z zewnątrz. Przy każdym elemencie proszę zaznaczyć, czy nadal jest używany i kto jest jego właścicielem.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Pomocy! Moja strona została zhakowana. Jak to naprawić lub temu zapobiec?
• CERT Polska, poradniki dotyczące bezpieczeństwa dla małych firm: https://cert.pl/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (w języku angielskim): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/