A zsarolóvírus nem csak nagyvállalati probléma
Sok kisvállalkozás úgy gondolja, hogy a kiberbűnözők számára túl kicsi célpont. Nincs több milliárdos árbevétel, nincs hatalmas adatbázis, nincs nemzetközi hírnév, tehát „kit érdekelne pont minket megtámadni?”. A gond az, hogy a zsarolóvírusok nagy része nem személyes ellenszenv vagy célzott üzleti hírszerzés miatt érkezik. Automatizált támadások, fertőzött csatolmányok, hamis belépési oldalak, gyenge jelszavak, védtelen távoli hozzáférések és elavult rendszerek is elégségesek lehetnek ahhoz, hogy egy cég működése órák alatt megbénuljon.
A zsarolóvírus lényege egyszerű: a támadó titkosítja vagy elérhetetlenné teszi a fájlokat, majd pénzt kér a helyreállításért. A valódi kár azonban nem csak a váltságdíj. Leállhat a számlázás, a rendeléskezelés, a gyártási dokumentáció, az ügyfélkommunikáció, a könyvelési adatátadás, a készletnyilvántartás vagy a futó projektek adminisztrációja. Egy kisvállalkozásnál már néhány nap működéskiesés is komoly bevételi és bizalmi veszteséget okozhat.
A vírusirtó fontos, de önmagában kevés
A vírusirtó vagy végpontvédelem alapvető eszköz, de nem teljes védelmi stratégia. A támadások gyakran nem klasszikus „vírusként” indulnak, hanem emberi hibán, jogosultsági gyengeségen vagy rosszul beállított rendszeren keresztül. Egy munkatárs rákattint egy adathalász emailre, megadja a belépési adatait, letölt egy fertőzött mellékletet, vagy egy távoli asztali hozzáférés marad nyitva gyenge jelszóval. Ilyenkor a támadó sokszor már nem betör, hanem belép.
A kis cégekben különösen veszélyes, hogy ugyanaz a felhasználó gyakran túl sok mindenhez fér hozzá: ügyféladatokhoz, számlázáshoz, szerződésekhez, megosztott mappákhoz, banki előkészítő anyagokhoz, belső dokumentumokhoz. Ha az ő gépe fertőződik, a kár gyorsan továbbterjedhet. A jó kibervédelem nem egyetlen program, hanem több egymást erősítő védelmi réteg.
Hol jutnak be leggyakrabban?
A zsarolóvírus nem mindig látványos hackerfilmes jelenettel kezdődik. Sokszor teljesen hétköznapi munkafolyamatban jelenik meg: beérkező számla, futárértesítő, álláspályázat, ajánlatkérés, beszállítói dokumentum, hamis banki üzenet vagy sürgető vezetői email formájában.
Gyakori belépési pontok:
- adathalász email: hamis linkkel vagy fertőzött csatolmánnyal;
- gyenge jelszó: újrahasznált vagy könnyen kitalálható belépési adatok;
- védtelen távoli hozzáférés: rosszul beállított RDP, VPN vagy távoli asztal;
- elavult szoftver: nem frissített operációs rendszer, böngésző, bővítmény;
- túl széles jogosultság: mindenki hozzáfér minden közös mappához;
- saját eszközök használata: céges adatok magángépeken, kontroll nélkül.
Ezek közül több nem drága technológiai kérdés, hanem fegyelmezett működés. A jelszókezelés, kétlépcsős azonosítás, jogosultságok rendezése és frissítések követése sok támadást már az elején megnehezíthet.
Az adatmentés csak akkor ér valamit, ha vissza is állítható
Zsarolóvírusnál a legfontosabb kérdés az, hogy van-e használható biztonsági mentés. Nem az, hogy „valahova mentünk-e”, hanem hogy a mentés teljes, friss, elkülönített és tesztelt-e. Sok cég csak támadás után szembesül azzal, hogy a mentés ugyan létezett, de hónapok óta hibásan futott, ugyanarra a hálózatra volt kötve, így azt is titkosították, vagy senki nem tudja, hogyan kell gyorsan visszaállítani.
A jó mentési rendszer több feltételnek felel meg:
- rendszeres: naponta vagy üzleti kritikus rendszereknél gyakrabban készül;
- elkülönített: nem érhető el ugyanazzal a fertőzött hozzáféréssel;
- több példányos: helyi és felhős vagy külső mentés is lehet;
- verziózott: nem csak a már titkosított állapotot őrzi;
- tesztelt: időnként valóban visszaállítanak belőle fájlokat;
- dokumentált: ismert, ki mit tesz vészhelyzetben.
A nem tesztelt biztonsági mentés inkább remény, mint védelem. Egy kisvállalkozásnál is érdemes évente legalább néhányszor próbavisszaállítást végezni, különösen számlázási, ügyfélkezelő, könyvelési, termelési vagy rendeléskezelő rendszereknél.
Mit kell tenni támadás gyanújakor?
A legrosszabb reakció a kapkodás. Ha egy gépen furcsa fájlnevek, megnyithatatlan dokumentumok, váltságdíjüzenet, tömeges hibaüzenet vagy szokatlan lassulás jelenik meg, azonnal korlátozni kell a terjedést. Nem szabad tovább dolgozni rajta, újraindítgatni, pendrive-ot csatlakoztatni vagy a közös meghajtókon keresgélni.
Alaplépések támadás gyanújakor:
- az érintett gép leválasztása a hálózatról;
- internetkapcsolat megszakítása, ha szükséges;
- IT-felelős vagy külső szolgáltató azonnali értesítése;
- közös meghajtók és szerverek ellenőrzése;
- jelszavak cseréje biztonságos gépről;
- biztonsági mentések védelme, nehogy azok is sérüljenek;
- események dokumentálása, időpontokkal és tünetekkel.
A váltságdíj kifizetése nem garantálja a helyreállítást, és nem biztosítja, hogy az adatok nem kerültek ki. A döntés jogi, üzleti és informatikai mérlegelést igényelhet. A támadás közben nem improvizálni kell, hanem előre elkészített vészforgatókönyvet követni.
Milyen szabályokra van szükség egy KKV-ban?
Kisvállalkozásnál nem kell több száz oldalas informatikai szabályzat, de néhány alapdokumentum és rutin nélkül sérülékeny marad a működés. Legyen világos, ki ad hozzáférést új munkatársnak, ki veszi el távozáskor, milyen jelszókezelőt használ a cég, hol tárolhatók ügyféladatok, milyen eszközről lehet belépni, és mit kell tenni gyanús email esetén.
Különösen fontos:
- kétlépcsős azonosítás emailhez, felhőhöz, pénzügyi rendszerekhez;
- jelszókezelő használata, nem megosztott Excel vagy papírfecni;
- legkisebb jogosultság elve, mindenki csak ahhoz férjen hozzá, ami kell;
- rendszeres frissítés, operációs rendszerre és szoftverekre is;
- munkatársi oktatás, valódi példákkal, nem csak aláírt papírral;
- kilépési folyamat, azonnali hozzáférésmegvonással.
A legtöbb kis cégben a legnagyobb gyengeség nem a drága technológia hiánya, hanem az, hogy nincs gazdája az IT-biztonságnak.
A dolgozók képzése nem kipipálandó feladat
Az adathalász üzenetek egyre hihetőbbek. Előfordulhat, hogy a támadó céges stílust másol, valódi partner nevében ír, számlát küld, vagy a vezető sürgető hangját utánozza. Ezért a munkatársaknak nem elég annyit mondani, hogy „ne kattintsanak gyanús linkre”. Meg kell mutatni, mi számít gyanúsnak.
Figyelmeztető jel lehet:
- szokatlan sürgetés: azonnali fizetés, gyors belépés, határidős fenyegetés;
- furcsa feladó: hasonló, de nem azonos emailcím;
- váratlan csatolmány: főleg tömörített fájl vagy makrós dokumentum;
- belépési adatok kérése emailben;
- vezetői utasítás pénzügyi műveletre, ellenőrzés nélkül;
- nyelvi vagy formai eltérés a megszokott partnerkommunikációtól.
A jó oktatás rövid, rendszeres és példaalapú. Egy 20 perces negyedéves belső átbeszélés többet érhet, mint egy évente egyszer kiküldött, senki által nem olvasott szabályzat.
A felkészülés kevesebbe kerül, mint a leállás
Egy zsarolóvírus-támadás után nemcsak informatikai helyreállításra van szükség. Ügyfeleket kell tájékoztatni, határidőket kell újratervezni, adatvédelmi kérdéseket kell vizsgálni, munkatársakat kell irányítani, és közben a cég bevétele csökkenhet. Ezért a védekezést nem technikai költségként, hanem működésbiztonsági befektetésként érdemes kezelni.
A kisvállalkozás nem attól védett, hogy túl kicsi a támadóknak, hanem attól, hogy nem könnyű célpont. A vírusirtó fontos, de csak az alap. Használható mentés, kétlépcsős azonosítás, rendezett jogosultságok, frissített rendszerek, oktatott munkatársak és vészhelyzeti terv nélkül egyetlen rossz kattintás is napokra megbéníthatja a működést. A valódi kérdés nem az, hogy lesz-e valaha támadási kísérlet, hanem az, hogy a cég felkészülten vagy kapkodva találkozik vele.
Fotó: Magnific