Laurence CadieuxMantraet for mange hackere i disse dage er ikke „tænk stort, eller lad være“. Det er i stedet „gode ting kommer i små pakker“, for de ser forbi de store virksomheder og retter blikket mod små og mellemstore virksomheder (SMV’er).
Nedenfor fremhæver vi fem grunde til, at hackere ser SMV’er som et så attraktivt og lukrativt mål:
1. SMV’er er typisk meget lettere at hacke end store virksomheder.
Mange SMV’er gennemfører ikke løbende, omfattende revisioner af IT-sikkerheden (og flere gennemfører dem slet ikke). Derfor har de en falsk følelse af tryghed, som hackere kan udnytte med bemærkelsesværdig lethed og hastighed, ofte ved at grave sig dybt ind i servere, hvor de forbliver skjult i lange perioder. Og vi taler ikke om dage her, eller engang uger. Vi taler om måneder og endda år. Husk, at det nu tager i gennemsnit 287 dage at opdage et brud første gang og yderligere 80 dage at inddæmme det.
Desuden har den nye Devolutions-undersøgelse om IT-sikkerhedens tilstand i 2022/23 vist, at flertallet af SMV’er ikke er forberedt på et cyberangreb. For eksempel:
- 88 % af SMV’erne har ikke en fuldt udrullet PAM-løsning.
- 44 % af SMV’erne har ikke en omfattende og opdateret plan for respons på cybersikkerhedshændelser.
- 35 % af SMV’erne måler ikke effekten af undervisning i cybersikkerhed hos slutbrugerne.
2. Det er yderst profitabelt at hacke SMV’er.
Hollywood vil have os til at tro, at hackere bruger al deres tid på at jagte verdens største virksomheder og myndigheder. Den enkle, jordnære virkelighed er, at de fleste hackere er helt tilfredse med at gå efter SMV’er. De er ikke motiveret af at komme i overskrifterne. De er interesserede i at stjæle legitimationsoplysninger og data, enten til deres egen ulovlige brug eller for at sælge dem på det mørke net.
Hvor mange penge taler vi egentlig om? Mere, end de fleste forestiller sig! Cyberkriminelle på mellemniveau kan sagtens tjene op til 900.000 USD om året. Og de har heller ikke brug for ultrasofistikeret teknologi. Bare én phishingmail kan føre til en ransomware-udbetaling på seks cifre. Med den slags svimlende ROI er spørgsmålet ikke „hvorfor går hackere efter SMV’er?“, men snarere „hvorfor i alverden skulle hackere nogensinde holde op med at gå efter SMV’er?“
3. SMV’er kan være en indgang til større organisationer.
Cyberkriminelle går ofte efter sårbare SMV’er som trædesten på vejen mod større virksomheder, der er sværere at bryde ind i. Cybersikkerhedsfirmaet BlueVoyant analyserede for eksempel hundredvis af SMV-leverandører til forsvarsvirksomheder og opdagede, at over halvdelen havde massive sårbarheder i deres netværk, herunder usikrede porte og software uden support eller uden patches, hvilket gjorde dem meget sårbare over for cyberangreb.
4. Mange SMV’er har ikke andet valg end at betale, når de bliver ramt af ransomware.
Den nye Devolutions-undersøgelse om IT-sikkerhedens tilstand i 2022/23 viste, at den trussel, SMV’er bekymrer sig mest om, er ransomware. Frygten er berettiget, for ransomwareangreb er steget kraftigt de seneste år, og den gennemsnitlige løsesumsbetaling er skudt i vejret til 170.704 USD pr. hændelse.
Ingen virksomhed, uanset størrelse, er selvfølgelig ligeglad med at blive afpresset af cyberkriminelle. Men efter at være blevet ramt af et løsesumskrav har nogle større organisationer med dybe lommer og rigelige ressourcer mulighed for midlertidigt at gå offline, mens de haster med at udrulle en backup. De pådrager sig selvfølgelig nogle omkostninger. Men når ledelsen har regnet på tallene og set på det større billede, kan den beslutte, at den bedre strategi er ikke at betale en løsesum.
De fleste SMV’er har simpelthen ikke den mulighed. Tanken om at „koble sig fra nettet“, selv i et par timer, endsige et par dage, er ikke bare problematisk. Den er udelukket. Og da mange SMV’er ikke har interne eksperter i IT-sikkerhed til at guide dem gennem den nerveopslidende proces, beslutter de, at det mindste af to onder er at betale en stor løsesum. Det er desværre præcis det, hackerne regner med.
5. SMV’er kan være særligt sårbare over for „CEO-svindel“.
I store virksomheder får de fleste medarbejdere aldrig en e-mail fra CEO’en (medmindre det er en af de generiske masseudsendelser, der sendes til grupper eller til alle). Men i SMV’er er det typisk at få en e-mail fra CEO’en om forskellige opgaver og prioriteringer.
Hackere udnytter den rutinemæssige, almindelige praksis gennem det, der kaldes „CEO-svindel“. Det indebærer en kort besked fra CEO’en (eller potentielt en hvilken som helst anden leder, for eksempel en CFO, en VP for økonomi og så videre) til en medarbejder om en udgående betaling. Her er et virkeligt eksempel på den taktik, som cybersikkerhedsvirksomheden Trustwave har offentliggjort (navnene er ændret):
Fra: John Smith Sendt: mandag den 13. november 2017 kl. 11.27 Til: Susan Brown Emne: Haster
Har du mulighed for at håndtere en international betaling her til formiddag? Jeg har én, der venter. Sig til, hvornår jeg skal sende bankoplysningerne.
I det tilfælde svarede offeret hurtigt på den (falske) CEO’s e-mail, hvilket udløste en kort korrespondance, der i sidste ende førte til en udgående bankoverførsel på mere end 32.000 USD. Da svindlen blev opdaget, var hackerne, og pengene, væk uden spor.
Konklusionen
SMV’er, der tror, at de er for små til at blive mål for hackere, er nødt til at tænke om igen. Som Forbes-skribent og rådgiver for små virksomheder Rhett Power påpeger: „Mange iværksættere, stiftere af startups og ejere af små virksomheder tænker måske på sig selv som småfisk sammenlignet med Fortune 500-hvalerne. De antager, at de er for små til at tiltrække hackeres og cyberangriberes opmærksomhed. Men sådan ser de ondsindede aktører ikke på det.“
Ja, der er en lille chance for, at en SMV slipper igennem sprækkerne og undgår at blive torpederet af ransomware, malware, botnets, spyware, og listen over cybertrusler fortsætter, og vi har ikke engang nævnt de risici, der udgøres af ondsindede og skødesløse/forsømmelige insidere.
Men der er en endnu større chance for, at ønsketænkende SMV’er på et tidspunkt, og det bliver sandsynligvis før snarere end senere, oplever at være under angreb. Når (ikke hvis) det sker, kan skaden være alvorlig og potentielt katastrofal. Tænk på, at den gennemsnitlige omkostning ved et databrud er steget til 4,24 millioner USD pr. hændelse, det højeste gennemsnit, der nogensinde er registreret. Og tabt forretning udgør 38 % af omkostningerne ved databrud.
Vejen frem
Heldigvis er historien ikke helt negativ (og fuldstændig rædselsvækkende). SMV’er kan reducere størrelsen og sårbarheden af deres angrebsflade dramatisk ved proaktivt at styrke deres forsvar inden for IT-sikkerhed på fire nøgleområder: adgangskodestyring, administration af privilegerede konti (PAM), administration af fjernadgang og undervisning af slutbrugere.
Vi ser nærmere på de områder i Devolutions’ undersøgelsesrapport om IT-sikkerhedens tilstand i 2022/23, som bliver tilgængelig i de kommende uger.
I mellemtiden opfordrer vi SMV’er til at udforske Devolutions’ cybersikkerhedsguide, som er en kurateret samling af indhold om cybersikkerhed fra vores blog. Emnerne spænder over alt fra adgangskodestyring til undervisning af slutbrugere og online-svindel (ja, herunder CEO-svindel) og mere. Klik her for at åbne guiden nu, og begynd at lukke hullet, før hackerne trænger ind, ikke bagefter.