Zašto su mala poduzeća meta napada

Modul 1: Zašto ste Vi meta · Vrijeme čitanja: 9 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti kako napadači djeluju (automatizirano, usmjereno na novac, oportunistički) i zašto tvrdnja "mi smo premali" ne vrijedi.
Ključni pojmovi: prijetnja, ranjivost, rizik, oportunistički napad, ciljani napad, cybercrime kao usluga, napadačka površina

"Što bi oni htjeli od nas?"

To pitanje čujete kod gotovo svakog malog poduzeća. Pekarnica, knjigovodstveni ured s troje zaposlenih, nogometni klub: zar nema većih riba? Ideja iza toga je da napadač prvo bira metu, a zatim traži način kako da uđe. Za mali dio napada to je točno. Za veliku većinu to funkcionira potpuno obrnuto: napadač prvo traži slabu točku, a njega uopće ne zanima čija je.

Da biste to dobro razumjeli, trebate tri pojma koji se provlače kroz cijeli ovaj tečaj.

• Prijetnja je nešto što može prouzročiti štetu: prevarant koji šalje lažne račune, komad ransomwarea, kolega koji slučajno podijeli pogrešnu datoteku.
• Ranjivost je slaba točka kroz koju ta prijetnja može udariti: lozinka koju koristite i na nekoj web trgovini, dodatak koji godinu dana nije ažuriran, proces plaćanja bez kontrole.
• Rizik je kombinacija toga: kolika je vjerojatnost da će prijetnja kroz ranjivost udariti, i koliko je to ozbiljno? Često se piše kao rizik = vjerojatnost x utjecaj.

Poduzeće bez ranjivosti ne postoji. Cilj sigurnosti zato nije "nulti rizik", nego smanjenje najvećih rizika na razinu s kojom možete živjeti.

Oportunistički ili ciljani

Postoje otprilike dvije vrste napada.

Kod ciljanog napada napadač bira jednu organizaciju. Istražuje tko tamo radi, tko plaća račune, koji su dobavljači, i prilagođava napad tome. To zahtijeva vrijeme, pa mora nešto donijeti. Zamislite prevaranta koji zna da Vaše poduzeće ovaj mjesec plaća veliki stroj, i baš tada šalje "promijenjeni broj računa" navodno od dobavljača.

Kod oportunističkog napada situacija je obrnuta. Napadač se usmjerava na slabu točku koja se istovremeno nalazi kod tisuća organizacija, i uzima ono što pronađe. Nema osobnog izbora za Vaše poduzeće. Vi ste jednostavno jedna od adresa na popisu.

Mala poduzeća najčešće pogađa druga vrsta. To nije smola, to je matematika: ako ponavljanje napada ništa ne košta, isplati se pustiti ga na sve.

Kako automatizacija jeftini napad

Napadač ne upisuje IP adrese ručno. Koristi programe koji danonoćno pretražuju internet. Takav skener pita adresu po adresu: koja usluga ovdje radi, koja verzija, je li otvorena stranica za prijavu? U roku od nekoliko sati pregledan je velik dio interneta.

Zamislite da se otkrije ranjivost u popularnom dodatku za web trgovine. Sljedeći dan skener traži sve stranice s tim dodatkom. Pronalazi web trgovinu odvjetničkog ureda koji nikad više nije pogledao svoju stranicu, stranicu udruge, i www.example.com pekarnice Example. Skener ne zna što je pekarnica i to ga uopće ne zanima. Vidi samo: stara verzija, dakle pogodak.

Isto se događa s prijavama. Popisi s milijunima procurjelih kombinacija e-pošte i lozinke automatski se isprobavaju na e-pošti, knjigovodstvu i društvenim mrežama (lekcija 1.4). I phishing poruke šalju se u velikom broju; ako samo mali dio primatelja klikne, kampanja je već isplativa.

Uz to, više ne morate biti haker da biste napadali. Nastalo je cijelo tržište cybercrimea kao usluge: jedan razvija ransomware i iznajmljuje ga, drugi prodaje ukradene podatke za prijavu, treći prodaje pristup poslovnim mrežama koje su već probijene. Microsoft u svom sigurnosnom blogu opisuje kako se ukradeni podaci skupljaju, preprodaju i na kraju nude kao pristup poduzećima. Prag za sudjelovanje time je nizak, a broj napadača velik.

Gdje je novac

Gotovo svi napadi na mala poduzeća vrte se oko novca. Taj novac dolazi na nekoliko načina:

1. Izravno plaćanje. Vi ili Vaš kolega uplatite novac na pogrešan račun: lažni račun, hitan zahtjev "od direktora" (lekcija 1.2).
2. Otkupnina. Vaše datoteke se šifriraju i morate platiti da ih povratite, ili da spriječite objavu ukradenih podataka (lekcija 1.3).
3. Preprodaja. Podaci za prijavu, podaci o klijentima ili pristup Vašim sustavima prodaju se onome tko ih želi iskoristiti (lekcija 1.4).
4. Korištenje Vaših sustava. Vaš sandučić šalje neželjenu poštu, Vaša web stranica širi zlonamjerni softver, Vaš poslužitelj kopa kriptovalute. Vi plaćate račun u obliku lošeg ugleda ili blokiranog adrese e-pošte.
5. Preko Vas do nekog drugog. Vi ste dobavljač većem poduzeću. Napadač koji preuzme Vaš sandučić može u Vaše ime slati lažne račune Vašim klijentima.

Mala poduzeća time su privlačna iz dva razloga. Imaju novac na računu i plaćaju račune, ali često nemaju IT odjel, nemaju načelo četiri oka kod plaćanja i nemaju dobro održavanu sigurnosnu kopiju. To povećava vjerojatnost uspjeha.

Vaša napadačka površina

Sve što napadač izvana može pokušati naziva se Vaša napadačka površina. Za malo poduzeće ona je veća nego što mislite:

• Vaša web stranica, uključujući CMS, dodatke i stranicu za upravljanje;
• Vaša e-pošta: sandučići, ali i Vaša domena, koju prevarant može oponašati ako SPF, DKIM i DMARC nisu dobro postavljeni (modul 4);
• svi online računi: banka, knjigovodstvo, platforma web trgovine, društvene mreže, registrar Vaše domene;
• uređaji: prijenosna računala, telefoni, router, mrežni disk, pisač;
• ljudi: svatko tko čita e-poštu, plaća račune ili odgovara na telefon;
• Vaši dobavljači: izrađivač web stranice s administratorskim računom, IT tvrtka s pristupom na daljinu (modul 7).

Svaki dio koji više ne koristite, a i dalje je online, dodatna je površina bez svrhe. Stara testna stranica na test.example.com, zaboravljeni FTP račun prethodnog izrađivača web stranice, račun na usluzi koju ste otkazali prije tri godine: na to više nitko ne pazi, pa se tamo nalaze ranjivosti.

Zamke u razmišljanju

"Mi nemamo ništa vrijedno."

Imate barem bankovni račun, sandučić e-pošte kojem klijenti vjeruju i podatke o klijentima. To je dovoljno.

"Imamo antivirus, pa smo sigurni."

Antivirusni program pomaže protiv dijela zlonamjernog softvera. Ne čini ništa protiv kolege koji plati vjerodostojno izgledajući račun s drugim brojem računa, ili protiv lozinke koja je procurila na drugoj stranici.

"Naša IT tvrtka to rješava."

Možda. Ali znate li što oni zapravo rješavaju? IT tvrtka često se brine za ažuriranja i antivirusni program, ali ne i za Vaš postupak plaćanja, Vašu politiku lozinki ili pristup Vašeg izrađivača web stranice. Tko što radi, morate dogovoriti (modul 7).

"Nama se to neće dogoditi, nikad se nije dogodilo."

Često jednostavno ne znate. Preuzeti sandučić mjesecima se može neopaženo pratiti prije nego što ga netko zlorabi.

U praksi: tako to izgleda

Primjer, sastavljen od situacija koje se često događaju. Mali računovodstveni ured (četiri osobe) imao je web stranicu na CMS-u koji je izgradio prethodni izrađivač web stranice. Nitko se više nije prijavljivao, pa nitko nije vidio obavijesti o ažuriranjima. Jednog ponedjeljka ujutro u sandučiću se pojavila obavijest hosting pružatelja: sa stranice su se širile phishing stranice. Iz zapisnika se pokazalo da je skener pronašao poznatu ranjivost u starom dodatku za obrasce, istog dana kad i stotine drugih stranica. Ured nikad nije bio "izabran". Oporavak je trajao tjedan dana, a naziv domene neko je vrijeme bio na popisu blokiranih, zbog čega je pošta ureda kod klijenata završavala u neželjenoj pošti.

Ranjivost se mogla spriječiti jednim ažuriranjem. O tome govori ostatak ovog tečaja: ne o savršenoj sigurnosti, nego o osnovama koje zaustavljaju jeftine, masovne napade.

Sažetak

• Rizik je kombinacija prijetnje i ranjivosti: vjerojatnost x utjecaj.
• Većina napada na mala poduzeća je oportunistička: prvo slaba točka, tek onda žrtva.
• Automatizacija i cybercrime kao usluga čine napade jeftinima, pa se isplati pustiti ih na sve.
• Gotovo sve se vrti oko novca: lažna plaćanja, otkupnina, preprodaja podataka ili zloporaba Vaših sustava.
• Vaša napadačka površina sastoji se od web stranice, e-pošte i domene, računa, uređaja, ljudi i dobavljača; zaboravljeni dijelovi najopasniji su.

Kviz

Zadatak

Zadatak A1.1: Prijetnja, ranjivost i rizik. Dobivate četiri kratke situacije iz malih poduzeća. Za svaku situaciju navedite što je prijetnja, a što ranjivost, te procijenite vjerojatnost i utjecaj (nisko, srednje, visoko). Zatim poredajte te četiri situacije od najvećeg prema najmanjem riziku. Program provjerava Vaše odgovore i za svaku situaciju objašnjava zašto.

Zadatak D1.1: Mapiranje Vaše napadačke površine. Napravite popis svega što Vaše poduzeće ima online: web stranice i poddomene, račune, uređaje s vanjskom vezom i tko izvana ima pristup. Za svaki dio navedite koristite li ga još uvijek i tko je vlasnik.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• Upomoć! Moja web stranica je hakirana. Kako to riješiti ili spriječiti?
• Preporuke Nacionalnog CERT-a za male poduzetnike i samostalne poduzetnike: https://www.cert.hr/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (na engleskom): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/