Prečo sú malé firmy cieľom útokov

Modul 1: Prečo ste cieľom práve vy · Čas čítania: 9 minút

Cieľ lekcie: Po tejto lekcii dokážete vysvetliť, ako útočníci pracujú (automatizovane, zamerane na peniaze, oportunisticky) a prečo tvrdenie „sme príliš malí“ neplatí.
Kľúčové pojmy: hrozba, zraniteľnosť, riziko, oportunistický útok, cielený útok, kyberkriminalita ako služba, útočný povrch

„Čo by chceli práve od nás?“

Túto otázku počujete takmer v každej malej firme. Pekáreň, účtovná kancelária s tromi zamestnancami, futbalový klub: veď existujú predsa väčšie ryby. Za touto myšlienkou je predstava, že útočník si najprv vyberie cieľ a potom hľadá spôsob, ako sa dostať dovnútra. Pre malú časť útokov to platí. Pre prevažnú väčšinu to funguje presne naopak: útočník najprv hľadá slabé miesto a vôbec mu nezáleží na tom, komu patrí.

Aby ste tomu dobre porozumeli, potrebujete tri pojmy, ktoré sa budú v celom kurze opakovať.

• Hrozba je niečo, čo môže spôsobiť škodu: podvodník, ktorý posiela falošné faktúry, ransomvér, kolega, ktorý omylom zdieľa nesprávny súbor.
• Zraniteľnosť je slabé miesto, cez ktoré môže hrozba zaútočiť: heslo, ktoré používate aj na internetovom obchode, doplnok (plugin), ktorý už rok nedostal aktualizáciu, platobný proces bez kontroly.
• Riziko je kombinácia oboch: aká je pravdepodobnosť, že hrozba cez zraniteľnosť zaútočí, a aké vážne to bude? Často sa to zapisuje ako riziko = pravdepodobnosť x dopad.

Firma bez zraniteľností neexistuje. Cieľom zabezpečenia preto nie je „nulové riziko“, ale zmenšenie najväčších rizík natoľko, aby sa s nimi dalo žiť.

Oportunistický alebo cielený

Existujú zhruba dva druhy útokov.

Pri cielenom útoku si útočník vyberie jednu konkrétnu organizáciu. Zistí, kto tam pracuje, kto platí faktúry, akí sú dodávatelia, a tomu prispôsobí svoj útok. To si vyžaduje čas, takže sa to musí oplatiť. Predstavte si podvodníka, ktorý vie, že vaša firma tento mesiac platí za veľký stroj, a presne vtedy pošle „zmenené číslo účtu“ od dodávateľa.

Pri oportunistickom útoku je to naopak. Útočník sa zameria na slabé miesto, ktoré sa vyskytuje u tisícok organizácií naraz, a zoberie, čo nájde. Žiadny osobný výber vašej firmy sa nekoná. Ste jednoducho jedna z adries na zozname.

Malé firmy postihuje predovšetkým druhý typ. Nie je to smola, je to matematika: ak útok nič nestojí zopakovať, oplatí sa ho spustiť na všetkých.

Ako automatizácia robí útok lacným

Útočník nesedí a ručne nepíše IP adresy. Používa programy, ktoré dňom i nocou prehľadávajú internet. Takýto skener sa pýta adresu po adrese: aká služba tu beží, aká verzia, je tu otvorená prihlasovacia stránka? Za pár hodín prejde veľká časť internetu.

Predstavte si, že sa objaví zraniteľnosť v bežne používanom doplnku pre internetové obchody. Na druhý deň skener hľadá všetky stránky s týmto doplnkom. Nájde internetový obchod advokátskej kancelárie, ktorá sa už dávno nepozrela na svoju stránku, stránku jedného spolku, a www.example.com firmy Pekáreň Example. Skener nevie, čo je pekáreň, a ani ho to nezaujíma. Vidí len: stará verzia, teda zásah.

To isté sa deje pri prihlasovaní. Zoznamy s miliónmi uniknutých kombinácií e-mailovej adresy a hesla sa automaticky skúšajú na pošte, účtovníctve a sociálnych sieťach (lekcia 1.4). A phishingové e-maily odchádzajú vo veľkých počtoch; ak klikne čo i len malá časť príjemcov, kampaň je už zisková.

K tomu sa pridáva skutočnosť, že útočiť už nemusíte byť hackerom sami. Vznikol celý trh s kyberkriminalitou ako službou: jeden vyvíja ransomvér a prenajíma ho, druhý predáva ukradnuté prihlasovacie údaje, tretí predáva prístup do firemných sietí, ktoré sú už otvorené. Microsoft vo svojom bezpečnostnom blogu opisuje, ako sa ukradnuté údaje zoskupujú, ďalej predávajú a nakoniec ponúkajú ako prístup do firiem. Vstupná bariéra na zapojenie sa je tak nízka a počet útočníkov vysoký.

Kde sú peniaze

Takmer všetky útoky na malé firmy sa točia okolo peňazí. Peniaze prichádzajú niekoľkými spôsobmi:

1. Priama platba. Vy alebo váš kolega pošlete peniaze na nesprávny účet: falošná faktúra, naliehavá žiadosť „od riaditeľa“ (lekcia 1.2).
2. Výkupné. Vaše súbory sa zašifrujú a vy musíte zaplatiť, aby ste ich dostali späť, alebo aby ste zabránili zverejneniu ukradnutých údajov (lekcia 1.3).
3. Ďalší predaj. Prihlasovacie údaje, zákaznícke údaje alebo prístup do vašich systémov sa predávajú tomu, kto o ne má záujem (lekcia 1.4).
4. Zneužitie vašich systémov. Vaša schránka rozosiela spam, vaša webová stránka šíri malvér, váš server ťaží kryptomeny. Účet zaplatíte vy, v podobe zlej povesti alebo zablokovanej e-mailovej adresy.
5. Cez vás k niekomu inému. Ste dodávateľom väčšej firmy. Útočník, ktorý ovládne vašu schránku, môže vo vašom mene posielať falošné faktúry vašim zákazníkom.

Malé firmy sú pritom atraktívne z dvoch dôvodov. Majú peniaze na účte a platia faktúry, ale často nemajú IT oddelenie, princíp štyroch očí pri platbách ani riadne udržiavanú zálohu. To zvyšuje šancu na úspech útočníka.

Váš útočný povrch

Všetko, čo sa útočník zvonka môže pokúsiť zneužiť, sa nazýva váš útočný povrch. Pre malú firmu je väčší, než si myslíte:

• vaša webová stránka s CMS, doplnkami a administrátorskou stránkou;
• váš e-mail: schránky, ale aj vaša doména, ktorú môže podvodník napodobniť, ak nemáte správne nastavené SPF, DKIM a DMARC (modul 4);
• všetky online účty: banka, účtovníctvo, platforma internetového obchodu, sociálne siete, registrátor vašej domény;
• zariadenia: notebooky, telefóny, router, sieťový disk, tlačiareň;
• ľudia: každý, kto číta poštu, platí faktúry alebo dvíha telefón;
• vaši dodávatelia: tvorca webu s administrátorským účtom, IT firma so vzdialeným prístupom (modul 7).

Každá súčasť, ktorú už nepoužívate, ale je stále online, je ďalší povrch bez úžitku. Stará testovacia stránka na test.example.com, zabudnutý FTP účet od predchádzajúceho tvorcu webu, účet pri službe, ktorú ste pred tromi rokmi zrušili: na to si už nikto nedáva pozor, a práve tam sa skrývajú zraniteľnosti.

Pasce v uvažovaní

„My nemáme nič cenné.“

Máte prinajmenšom bankový účet, e-mailovú schránku, ktorej dôverujú zákazníci, a údaje o zákazníkoch. To stačí.

„Máme antivírus, takže sme v bezpečí.“

Antivírus pomáha proti časti škodlivého softvéru. Nepomôže proti kolegovi, ktorý zaplatí vierohodne vyzerajúcu faktúru s iným číslom účtu, ani proti heslu, ktoré uniklo z inej stránky.

„Naša IT firma sa o to stará.“

Možno. Ale viete, čo konkrétne riešia? IT firma sa často stará o aktualizácie a antivírus, ale nie o váš platobný postup, politiku hesiel či prístup vášho tvorcu webu. Kto čo robí, si musíte dohodnúť (modul 7).

„Nám sa to nestane, ešte sa nám to nikdy nestalo.“

Často to jednoducho neviete. Ovládnutá schránka môže byť mesiace nepozorovane sledovaná, kým ju niekto zneužije.

V praxi: takto to vyzerá

Príklad zostavený zo situácií, ktoré sa často opakujú. Malá účtovná kancelária (štyria zamestnanci) mala webovú stránku na CMS, ktorý postavil predchádzajúci tvorca webu. Nikto sa už do nej neprihlasoval, takže nikto nevidel upozornenia na aktualizácie. V pondelok ráno sa v schránke objavilo upozornenie od poskytovateľa hostingu: zo stránky sa šíria phishingové stránky. Z logov vyplynulo, že skener našiel známu zraniteľnosť v starom doplnku na formuláre, v ten istý deň ako na stovkách iných stránok. Kancelária nebola nikdy „vybraná“. Obnova trvala týždeň a doménové meno bolo istý čas na blokovacom zozname, čo spôsobilo, že pošta kancelárie padala zákazníkom do spamu.

Zraniteľnosti sa dalo predísť jednou aktualizáciou. Práve o tom je zvyšok tohto kurzu: nie o dokonalom zabezpečení, ale o základoch, ktoré zastavia lacné, hromadné útoky.

Zhrnutie

• Riziko je kombináciou hrozby a zraniteľnosti: pravdepodobnosť x dopad.
• Väčšina útokov na malé firmy je oportunistická: najprv slabé miesto, až potom obeť.
• Automatizácia a kyberkriminalita ako služba robia útoky lacnými, preto sa oplatí spustiť ich na všetkých.
• Takmer všetko sa točí okolo peňazí: falošné platby, výkupné, ďalší predaj údajov alebo zneužitie vašich systémov.
• Váš útočný povrch tvorí webová stránka, pošta a doména, účty, zariadenia, ľudia a dodávatelia; najnebezpečnejšie sú zabudnuté súčasti.

Kvíz

Úloha

Úloha A1.1: Hrozba, zraniteľnosť a riziko. Dostanete štyri krátke situácie z malých firiem. Pre každú situáciu uveďte, čo je hrozba a čo je zraniteľnosť, a odhadnite pravdepodobnosť a dopad (nízka, stredná, vysoká). Potom zoraďte tieto štyri situácie od najväčšieho po najmenšie riziko. Program vaše odpovede skontroluje a pri každej situácii vysvetlí prečo.

Úloha D1.1: Zmapovanie vašej útočnej plochy. Vytvorte zoznam všetkého, čo má vaša firma online: webové stránky a subdomény, účty, zariadenia s pripojením von, a kto má prístup zvonka. Pri každej položke uveďte, či ju ešte používate a kto je jej vlastník.

Čítajte ďalej

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov funguje postup podobne.

• Pomoc! Moja stránka bola napadnutá. Ako to vyriešiť a ako tomu predísť?
• NBÚ a SK-CERT, odporúčania pre OSVČ a malé a stredné firmy: https://www.sk-cert.sk/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (po anglicky): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/