Γιατί οι μικρές επιχειρήσεις αποτελούν στόχο

Ενότητα 1: Γιατί είστε στόχος · Χρόνος ανάγνωσης: 9 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε πώς δρουν οι επιτιθέμενοι (αυτοματοποιημένα, με στόχο το χρήμα, ευκαιριακά) και γιατί η φράση "είμαστε πολύ μικροί" δεν ισχύει.
Βασικές έννοιες: απειλή, ευπάθεια, κίνδυνος, ευκαιριακή επίθεση, στοχευμένη επίθεση, κυβερνοέγκλημα ως υπηρεσία, επιφάνεια επίθεσης

"Τι να θέλουν από εμάς;"

Αυτή η ερώτηση ακούγεται σχεδόν από κάθε μικρή επιχείρηση. Ένα αρτοποιείο, ένα λογιστικό γραφείο με τρία άτομα, ένας αθλητικός σύλλογος: δεν υπάρχουν μεγαλύτερα "ψάρια"; Η ιδέα πίσω από αυτή τη σκέψη είναι ότι ένας επιτιθέμενος πρώτα επιλέγει έναν στόχο και μετά ψάχνει πώς θα εισβάλει. Για ένα μικρό μέρος των επιθέσεων αυτό ισχύει. Για τη συντριπτική πλειοψηφία όμως συμβαίνει ακριβώς το αντίθετο: ο επιτιθέμενος ψάχνει πρώτα για ένα αδύναμο σημείο, και δεν τον ενδιαφέρει ιδιαίτερα σε ποιον ανήκει.

Για να το κατανοήσετε καλά, χρειάζεστε τρεις έννοιες που θα επανέρχονται σε όλη αυτή την εκπαίδευση.

• Μια απειλή είναι κάτι που μπορεί να προκαλέσει ζημιά: ένας απατεώνας που στέλνει ψεύτικα τιμολόγια, ένα κομμάτι ransomware, ένας συνάδελφος που κατά λάθος μοιράζεται το λάθος αρχείο.
• Μια ευπάθεια είναι ένα αδύναμο σημείο μέσω του οποίου μπορεί να χτυπήσει αυτή η απειλή: ένας κωδικός πρόσβασης που χρησιμοποιείτε και σε ένα ηλεκτρονικό κατάστημα, ένα πρόσθετο (plugin) που δεν έχει ενημερωθεί εδώ και έναν χρόνο, μια διαδικασία πληρωμών χωρίς έλεγχο.
• Ένας κίνδυνος είναι ο συνδυασμός: πόσο μεγάλη είναι η πιθανότητα μια απειλή να χτυπήσει μέσω μιας ευπάθειας, και πόσο σοβαρό θα είναι τότε; Συχνά το γράφουμε ως κίνδυνος = πιθανότητα x επίπτωση.

Μια επιχείρηση χωρίς ευπάθειες δεν υπάρχει. Ο στόχος της ασφάλειας λοιπόν δεν είναι ο "μηδενικός κίνδυνος", αλλά η μείωση των μεγαλύτερων κινδύνων σε τέτοιο βαθμό ώστε να μπορείτε να ζήσετε με αυτούς.

Ευκαιριακή ή στοχευμένη

Υπάρχουν, σε γενικές γραμμές, δύο είδη επιθέσεων.

Σε μια στοχευμένη επίθεση ο επιτιθέμενος επιλέγει έναν συγκεκριμένο οργανισμό. Ερευνά ποιος εργάζεται εκεί, ποιος πληρώνει τα τιμολόγια, ποιοι είναι οι προμηθευτές, και προσαρμόζει ανάλογα την επίθεσή του. Αυτό απαιτεί χρόνο, άρα πρέπει να αποφέρει κάτι. Σκεφτείτε έναν απατεώνα που γνωρίζει ότι η επιχείρησή σας αυτόν τον μήνα θα εξοφλήσει ένα ακριβό μηχάνημα, και ακριβώς τότε στέλνει έναν "τροποποιημένο αριθμό λογαριασμού" τάχα από τον προμηθευτή.

Σε μια ευκαιριακή επίθεση συμβαίνει το αντίθετο. Ο επιτιθέμενος στοχεύει σε ένα αδύναμο σημείο που υπάρχει ταυτόχρονα σε χιλιάδες οργανισμούς, και εκμεταλλεύεται ό,τι βρει. Δεν υπάρχει προσωπική επιλογή για την επιχείρησή σας. Είστε απλώς μία από τις διευθύνσεις στη λίστα.

Οι μικρές επιχειρήσεις πλήττονται κυρίως από το δεύτερο είδος. Αυτό δεν είναι γρουσουζιά, είναι μαθηματικά: αν μια επίθεση δεν κοστίζει τίποτα να επαναληφθεί, συμφέρει να απευθύνεται σε όλους.

Πώς η αυτοματοποίηση κάνει την επίθεση φθηνή

Ένας επιτιθέμενος δεν πληκτρολογεί με το χέρι διευθύνσεις IP. Χρησιμοποιεί προγράμματα που σαρώνουν το διαδίκτυο μέρα και νύχτα. Ένας τέτοιος σαρωτής (scanner) ρωτάει διεύθυνση προς διεύθυνση: ποια υπηρεσία τρέχει εδώ, ποια έκδοση, υπάρχει ανοιχτή σελίδα σύνδεσης; Μέσα σε λίγες ώρες έχει ελεγχθεί μεγάλο μέρος του διαδικτύου.

Ας υποθέσουμε ότι γίνεται γνωστή μια ευπάθεια σε ένα ευρέως χρησιμοποιούμενο πρόσθετο (plugin) για ηλεκτρονικά καταστήματα. Την επόμενη ημέρα ένας σαρωτής ψάχνει όλους τους ιστότοπους με αυτό το πρόσθετο. Βρίσκει το ηλεκτρονικό κατάστημα ενός δικηγορικού γραφείου που δεν έχει ξανακοιτάξει τον ιστότοπό του, τον ιστότοπο ενός συλλόγου, και το www.example.com του Αρτοποιείου Example. Ο σαρωτής δεν ξέρει τι είναι αρτοποιείο και ούτε τον ενδιαφέρει. Βλέπει μόνο: παλιά έκδοση, άρα στόχος.

Το ίδιο συμβαίνει και με τη σύνδεση. Λίστες με εκατομμύρια διαρρεύσαντες συνδυασμούς email και κωδικού πρόσβασης δοκιμάζονται αυτόματα σε email, λογιστικά προγράμματα και κοινωνικά δίκτυα (μάθημα 1.4). Και τα phishing email αποστέλλονται σε μεγάλους αριθμούς: αν ένα μικρό ποσοστό των παραληπτών κάνει κλικ, η εκστρατεία είναι ήδη κερδοφόρα.

Επιπλέον, δεν χρειάζεται πια να είστε οι ίδιοι χάκερ για να επιτεθείτε. Έχει δημιουργηθεί μια ολόκληρη αγορά κυβερνοεγκλήματος ως υπηρεσίας: κάποιος αναπτύσσει το ransomware και το ενοικιάζει, κάποιος άλλος πουλάει κλεμμένα στοιχεία σύνδεσης, ένας τρίτος πουλάει πρόσβαση σε εταιρικά δίκτυα που είναι ήδη ανοιχτά. Η Microsoft περιγράφει στο blog ασφαλείας της πώς τα κλεμμένα δεδομένα συγκεντρώνονται, μεταπωλούνται και τελικά προσφέρονται ως πρόσβαση σε επιχειρήσεις. Το κατώφλι συμμετοχής είναι έτσι χαμηλό, και ο αριθμός των επιτιθέμενων μεγάλος.

Πού βρίσκεται το χρήμα

Σχεδόν όλες οι επιθέσεις σε μικρές επιχειρήσεις αφορούν χρήμα. Αυτό το χρήμα εισρέει με μερικούς τρόπους:

1. Άμεση πληρωμή. Εσείς ή ο συνάδελφός σας μεταφέρετε χρήματα στον λάθος λογαριασμό: ένα ψεύτικο τιμολόγιο, ένα επείγον αίτημα "από τη διεύθυνση" (μάθημα 1.2).
2. Λύτρα. Τα αρχεία σας κρυπτογραφούνται και πρέπει να πληρώσετε για να τα πάρετε πίσω, ή για να αποτρέψετε τη δημοσίευση κλεμμένων δεδομένων (μάθημα 1.3).
3. Μεταπώληση. Στοιχεία σύνδεσης, δεδομένα πελατών ή πρόσβαση στα συστήματά σας πωλούνται σε όποιον τα θέλει (μάθημα 1.4).
4. Χρήση των συστημάτων σας. Το γραμματοκιβώτιό σας στέλνει spam, ο ιστότοπός σας διαδίδει κακόβουλο λογισμικό, ο διακομιστής σας εξορύσσει κρυπτονομίσματα. Εσείς πληρώνετε τον λογαριασμό με τη μορφή κακής φήμης ή μπλοκαρισμένης διεύθυνσης email.
5. Μέσω εσάς σε κάποιον άλλο. Είστε προμηθευτής μιας μεγαλύτερης επιχείρησης. Ένας επιτιθέμενος που καταλαμβάνει το γραμματοκιβώτιό σας μπορεί να στέλνει ψεύτικα τιμολόγια στους πελάτες σας εξ ονόματός σας.

Οι μικρές επιχειρήσεις είναι ελκυστικές για δύο λόγους. Έχουν πράγματι χρήματα στον λογαριασμό και πληρώνουν τιμολόγια, αλλά συχνά δεν έχουν τμήμα πληροφορικής, δεν εφαρμόζουν την αρχή των "τεσσάρων ματιών" στις πληρωμές και δεν διατηρούν σωστά αντίγραφα ασφαλείας. Αυτό αυξάνει τις πιθανότητες επιτυχίας.

Η επιφάνεια επίθεσής σας

Οτιδήποτε μπορεί να δοκιμάσει ένας επιτιθέμενος από έξω ονομάζεται επιφάνεια επίθεσης. Για μια μικρή επιχείρηση αυτή είναι μεγαλύτερη απ' όσο νομίζετε:

• ο ιστότοπός σας, με το CMS, τα πρόσθετα (plugins) και η σελίδα διαχείρισης·
• το email σας: τα γραμματοκιβώτια, αλλά και το domain σας, το οποίο μπορεί να μιμηθεί ένας απατεώνας αν τα SPF, DKIM και DMARC δεν είναι σωστά ρυθμισμένα (ενότητα 4)·
• όλοι οι online λογαριασμοί: τράπεζα, λογιστικό πρόγραμμα, πλατφόρμα ηλεκτρονικού καταστήματος, κοινωνικά δίκτυα, ο καταχωρητής του domain σας·
• οι συσκευές: laptop, τηλέφωνα, ο router, ο δικτυακός δίσκος, ο εκτυπωτής·
• οι άνθρωποι: όποιος διαβάζει email, πληρώνει τιμολόγια ή σηκώνει το τηλέφωνο·
• οι προμηθευτές σας: ο δημιουργός του ιστότοπου με λογαριασμό διαχειριστή, η εταιρεία πληροφορικής με απομακρυσμένη πρόσβαση (ενότητα 7).

Κάθε στοιχείο που δεν χρησιμοποιείτε πια αλλά παραμένει online είναι επιπλέον επιφάνεια χωρίς καμία χρησιμότητα. Ένας παλιός δοκιμαστικός ιστότοπος στο test.example.com, ένας ξεχασμένος λογαριασμός FTP από προηγούμενο κατασκευαστή ιστοσελίδων, ένας λογαριασμός σε μια υπηρεσία που ακυρώσατε πριν από τρία χρόνια: κανείς δεν τα προσέχει πλέον, άρα εκεί βρίσκονται οι ευπάθειες.

Παγίδες στη σκέψη

"Εμείς δεν έχουμε τίποτα πολύτιμο."

Έχετε τουλάχιστον έναν τραπεζικό λογαριασμό, ένα γραμματοκιβώτιο στο οποίο εμπιστεύονται οι πελάτες σας και δεδομένα πελατών. Αυτό είναι αρκετό.

"Έχουμε antivirus, άρα είμαστε ασφαλείς."

Το antivirus βοηθάει ενάντια σε ένα μέρος του κακόβουλου λογισμικού. Δεν κάνει τίποτα ενάντια σε έναν συνάδελφο που πληρώνει ένα πειστικό τιμολόγιο με διαφορετικό αριθμό λογαριασμού, ή ενάντια σε έναν κωδικό πρόσβασης που έχει διαρρεύσει από άλλον ιστότοπο.

"Η εταιρεία πληροφορικής μας το αναλαμβάνει αυτό."

Ίσως. Αλλά ξέρετε τι ακριβώς αναλαμβάνουν; Μια εταιρεία πληροφορικής συνήθως φροντίζει για ενημερώσεις και έναν ιό-σαρωτή, αλλά όχι για τη διαδικασία πληρωμών σας, την πολιτική κωδικών πρόσβασης ή την πρόσβαση του κατασκευαστή του ιστότοπού σας. Ποιος κάνει τι πρέπει να το συμφωνήσετε (ενότητα 7).

"Δεν μας έχει συμβεί ποτέ, δεν έχει ξανασυμβεί."

Συχνά απλώς δεν το γνωρίζετε. Ένα καταληφθέν γραμματοκιβώτιο μπορεί να παρακολουθείται επί μήνες χωρίς να γίνει αντιληπτό, πριν κάποιος το εκμεταλλευτεί.

Στην πράξη: έτσι μοιάζει

Ένα παράδειγμα, βασισμένο σε καταστάσεις που συμβαίνουν συχνά. Ένα μικρό λογιστικό γραφείο (τέσσερα άτομα) είχε έναν ιστότοπο σε CMS που είχε κατασκευάσει ένας προηγούμενος κατασκευαστής ιστοσελίδων. Κανείς δεν συνδεόταν πια σε αυτόν, άρα κανείς δεν έβλεπε τις ειδοποιήσεις για ενημερώσεις. Μια Δευτέρα πρωί υπήρχε μια ειδοποίηση από την εταιρεία φιλοξενίας στο γραμματοκιβώτιο: από τον ιστότοπο διαδίδονταν σελίδες phishing. Από τα αρχεία καταγραφής προέκυψε ότι ένας σαρωτής είχε βρει μια γνωστή ευπάθεια σε ένα παλιό πρόσθετο φορμών, την ίδια ημέρα με εκατοντάδες άλλους ιστότοπους. Το γραφείο δεν είχε ποτέ "επιλεγεί". Η αποκατάσταση κράτησε μια εβδομάδα, και το domain παρέμεινε για κάποιο διάστημα σε λίστα αποκλεισμού, με αποτέλεσμα το email του γραφείου να καταλήγει στα spam των πελατών.

Η ευπάθεια θα μπορούσε να είχε αποφευχθεί με μία μόνο ενημέρωση. Σε αυτό ακριβώς επικεντρώνεται η υπόλοιπη αυτή εκπαίδευση: όχι στην τέλεια ασφάλεια, αλλά στα βασικά που σταματούν τις φθηνές, μαζικές επιθέσεις.

Σύνοψη

• Ένας κίνδυνος είναι ο συνδυασμός μιας απειλής και μιας ευπάθειας: πιθανότητα x επίπτωση.
• Οι περισσότερες επιθέσεις σε μικρές επιχειρήσεις είναι ευκαιριακές: πρώτα το αδύναμο σημείο, μετά το θύμα.
• Η αυτοματοποίηση και το κυβερνοέγκλημα ως υπηρεσία κάνουν τις επιθέσεις φθηνές, άρα συμφέρει να απευθύνονται σε όλους.
• Σχεδόν τα πάντα αφορούν χρήμα: ψεύτικες πληρωμές, λύτρα, μεταπώληση δεδομένων ή κατάχρηση των συστημάτων σας.
• Η επιφάνεια επίθεσής σας αποτελείται από ιστότοπο, email και domain, λογαριασμούς, συσκευές, ανθρώπους και προμηθευτές· τα ξεχασμένα στοιχεία είναι τα πιο επικίνδυνα.

Κουίζ

Άσκηση

Άσκηση A1.1: Απειλή, ευπάθεια και κίνδυνος. Θα σας δοθούν τέσσερις σύντομες καταστάσεις από μικρές επιχειρήσεις. Προσδιορίστε για κάθε κατάσταση ποια είναι η απειλή και ποια η ευπάθεια, και εκτιμήστε την πιθανότητα και την επίπτωση (χαμηλή, μέτρια, υψηλή). Στη συνέχεια, ταξινομήστε τις τέσσερις καταστάσεις από τον μεγαλύτερο προς τον μικρότερο κίνδυνο. Το πρόγραμμα ελέγχει τις απαντήσεις σας και εξηγεί τον λόγο για κάθε κατάσταση.

Άσκηση D1.1: Χαρτογράφηση της επιφάνειας επίθεσης σας. Φτιάξτε μια λίστα με όλα όσα έχει online η επιχείρησή σας: ιστότοπους και subdomains, λογαριασμούς, συσκευές με σύνδεση προς τα έξω, και ποιος έχει πρόσβαση από έξω. Σημειώστε για κάθε στοιχείο αν το χρησιμοποιείτε ακόμα και ποιος είναι ο ιδιοκτήτης του.

Περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Βοήθεια! Η ιστοσελίδα μου παραβιάστηκε. Πώς μπορώ να το διορθώσω ή να το αποτρέψω;
• Εθνική Αρχή Κυβερνοασφάλειας, οδηγίες ασφάλειας για αυτοαπασχολούμενους και μικρές επιχειρήσεις: https://cyber.gov.gr/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (στα αγγλικά): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/