Na velikosti nezáleží. Hacker si nevybírá firmu, vybírá si zranitelnost

Najde si vás automatický skener

Internet nepřetržitě procházejí automatizované nástroje. Nehledají konkrétní firmu. Hledají konkrétní verzi VPN brány, firewallu nebo e-mailového serveru se známou zranitelností, přes kterou se dá proniknout do systému.

Princip je jednoduchý. Skenery projdou veřejné IP adresy a zaznamenají, jaké služby na nich běží a v jaké verzi. Vzniká tak průběžně aktualizovaný seznam. Jakmile se v některém produktu objeví zranitelnost, útočník si během chvíle vyhledá všechny firmy, které danou verzi používají. Na seznam se tedy firma nedostane kvůli velikosti nebo obratu, alekvůli verzi používaného softwaru.

Rozhoduje rychlost. Mezi zveřejněním zranitelnosti a prvními pokusy o její zneužití uplynou hodiny. Jenže na takové tempo měsíční cyklus aktualizací, na který je většina firem zvyklá, nestačí.

Obchod s daty, přístupy a ransomware na dark webu

Moderní kyberzločinci si dělí práci. Jedni hledají slabá místa, druzí prodávají malware, třetí šifrují data a vyjednávají výkupné. Velikost firmy hackera nezajímá, zajímá ho, za kolik přístup prodá dál. Ten, kdo se do systému dostane, proto vůbec nemusí být tím, kdo na konci požaduje výkupné.

Přístupy do firemních sítí jsou na černém trhu běžné zboží. Obchodují s nimi takzvaní Initial Access Brokers, kteří proniknou do systému a získanou „vstupenku“ prodají dál.

Kupují ji ransomwarové skupiny, které dnes často fungují na principu franšízy, tzv. Ransomware-as-a-Service. Autor škodlivého kódu ho pronajímá dalším útočníkům, kteří s jeho pomocí napadají firmy, a o výkupné se pak dělí. Data firem, které odmítnou zaplatit, končí na leak stránkách, kde si je může stáhnout nebo koupit téměř kdokoli.

Kromě těchto přístupů se prodávají přihlašovací údaje z infikovaných počítačů. Sbírá je specializovaný malware zvaný infostealer. Tyto údaje tvoří stálý článek celého kriminálního řetězce. Filtrují se podle domény, takže napadený domácí notebook zaměstnance se za pár dolarů promění ve vstup do firemní sítě.

Dodavatelský řetězec

Proč dobývat pevnost, když lze projít zadním vchodem pro služebnictvo? Na větší a lépe zabezpečenou firmu útočník často míří přes jejího dodavatele, který má přístup do portálu nebo k výrobní dokumentaci. Z toho důvodu je důležité stanovit bezpečnostní požadavky i dodavatelům. Bezpečnostní opatření firmám ve vybraných odvětvích nově ukládá směrnice NIS2.

Levný vstup, drahý incident

Přístup do menší sítě se na dark webu prodává v řádu stovek dolarů, zatímco očekávaný výnos z vydírání je o dva řády vyšší. Skutečná cena incidentu přitom nekončí u výkupného. „Započítává se ušlý zisk za dobu, kdy nefunguje výroba, sklad, rezervační systém nebo prodej. K tomu se přidávají smluvní sankce vůči odběratelům, náklady na obnovu dat a nově i regulační pokuty,“ vysvětluje David Pícha, provozní ředitel společnosti Integra.

Nejlevnější obranou je prevence

Při penetračním testu se etičtí hackeři za předem dohodnutých podmínek snaží proniknout do firemních systémů stejně jako skutečný útočník. Na rozdíl od automatického skeneru zranitelností, který vydá seznam nálezů, pentester ověří, které z nich lze skutečně zneužít, jak daleko se přes ně útočník dostane, a poskytne také doporučení k nápravě.

Na velikosti firmy tedy nezáleží. Záleží na tom, jaké zranitelnosti v jejích systémech jsou a jak dlouho o nich hackeři vědí.