Miksi pienetkin yritykset ovat kyberrikollisten kohteena?

”Olemme vain pieni yritys, miksi ketään kiinnostaisi murtautua meidän järjestelmiimme? Tuskin hakkerit edes tietävät meidän olemassaolostamme.”

Tähän harhaanjohtavaan ajatukseen törmää edelleen silloin tällöin. Todellisuudessa pienet yritykset voivat joutua jopa useammin kyberrikollisten uhriksi kuin suuret yritykset.

Miksi rikollisia kiinnostavat pienemmät saaliit, vaikka isoissa yrityksissä olisi enemmän ja arvokkaampaa dataa? Vastaus on yksinkertainen: valtaosaa kyberrikollisista ei kiinnosta, kuka olet tai mitä teet. He menevät sinne, mihin pääsevät, ja hyötyvät siitä, mitä saavat käsiinsä.

Esimerkki: kiristyshaittaohjelmien uhrit

Esimerkiksi ransomware.live-sivusto listaa organisaatioita, jotka ovat joutuneet kiristyshaittaohjelmia käyttävien rikollisjengien uhreiksi. Hyökkääjät tunkeutuvat järjestelmiin, varastavat ja lukitsevat tiedot ja vaativat lunnaita niiden palauttamisesta ja julkaisematta jättämisestä.

Tätä kirjoittaessa tuoreimpien uhrien joukosta löytyi esimerkiksi:

• noin 10 hengen rakennusalan yritys,
• noin 15 hengen rahoitusalan yritys,
• noin 50 hengen tukku- ja jakeluyritys,
• noin 300 hengen hoitoalan yritys.

Listalla on pieniä, keskikokoisia ja isoja organisaatioita eri toimialoilta ja maanosista. Uhreja ei yhdistä juuri mikään muu kuin se, että niillä kaikilla oli jokin haavoittuvuus, jota hyökkääjät pääsivät käyttämään hyväksi.

Miten pieninkin yritys voi joutua kohteeksi?

Internetin haittapuolilta on lähes mahdotonta piiloutua, koska silloin pitäisi piiloutua myös omilta asiakkailta ja kumppaneilta. Lähes jokaisella yrityksellä on verkkosivut, verkkokauppa, asiakasportaali tai ajanvarausjärjestelmä. Lisäksi käytössä on pilvityökaluja, kuten Microsoft 365 tai Google Workspace, sekä reitittimiä, IoT-laitteita ja etäyhteyksiä.

Jokainen verkkoon kytketty palvelu, työkalu tai laite on uusi kosketuspinta, josta rikolliset voivat etsiä haavoittuvuuksia ja pääsyä yrityksen järjestelmiin.

Tekniset haavoittuvuudet eivät ole ainoa reitti. Iso osa hyökkäyksistä perustuu inhimillisiin virheisiin, kuten kalasteluun lankeamiseen. Pk-yrityksissä tietoturvatietoisuus on keskimäärin heikompaa kuin suurissa, joten inhimilliset virheet korostuvat.

Hyökkääjät eivät aina tyydy tietojen varastamiseen. Uhria voidaan käyttää välikätenä uskottavampiin jatkohyökkäyksiin, esimerkiksi lähettämällä kalasteluviestejä kaapatulta yritystililtä asiakkaille ja kumppaneille.

Onko asialle mitään tehtävissä?

On hyvinkin. Pitkälle pääsee laittamalla perusasiat kuntoon:

1. Päivitä käyttöjärjestelmät ja ohjelmistot heti, kun päivityksiä on saatavilla.
2. Varmuuskopioi tärkeät tiedot ja testaa niiden palauttaminen säännöllisesti.
3. Ota monivaiheinen tunnistautuminen käyttöön aina, kun se on mahdollista.
4. Hallitse pääsyoikeuksia tietoon.
5. Tee suunnitelma tietoturvapoikkeamien varalle.
6. Lisää henkilöstön tietoturvatietoisuutta.

Foregon auttaa pk-yrityksiä hallitsemaan tietoturvaansa suunnitelmallisesti ja kustannustehokkaasti. Ota yhteyttä, niin katsotaan yhdessä, miten kyberrikollisten aiheuttamat riskit saadaan minimoitua.

← Kaikki artikkelit