|
בלוג סליקהאיומי סייבר מרכזיים על עסקים קטנים (והעיקר, מה לעשות לגביהם) 20 יולי 2016
ננסה לעשות סדר בעולם הסייבר המעשי – זה שנוגע לנו – ונתחיל כמובן עם
השאלה מה מסוכן עבורנו? בגדול אפשר לחלק את עולם איומי הסייבר ל- 4:
הסיכון לעסקים קטנים במבט ראשון ניתן להניח כי הסיכון על עסקים קטנים נובע בעיקר מפושעי
אינטרנט שינסו לנצל את חוסר הידע וההשקעה באבטחת מידע של העסק הקטן כדי לשלשל
לכיסם מעט כסף. הם עושים זאת במספר אפיקי פעילות, ונתחיל מהאפיק שנמצא בצמיחה
המהירה ביותר... כלי כופר. כלי כופר הם כלי התקפה זדוניים המשמשים תוקפים כדי לחסום את הפעילות
של מחשבים בעסק. בעבר הם פשוט היו מקפיצים חלון שחסם את המסך, אך בשנה האחרונה רוב
הכלים העדכניים לסחיטת כופר מצפינים את הנתונים שבמחשב כך שניתן לגשת אליהם רק
באמצעות סיסמא הידועה כמובן לתוקפים. עסק שנפגע מכלי כופר למעשה מושבת מפעילות, עד
אשר יענה לדרישות התוקפים להעביר אליהם סכום כסף. בדרך כלל הדרישה לתשלום תהיה
במטבע הביטקוין, שלא ניתן לעקוב אחריו, והסכום ינוע בין 500 לכמה אלפי שקלים. זמן
זה כסף, ועסקים הנמצאים בלחץ לחזור לפעילות פעמים רבות משלמים את הסכום. יש לציין
כי הדבר לא מומלץ, מכיוון שלעיתים התוקפים לא ישחררו באמת את הנתונים, והדבר גם מעניק
פרס לתוקפים. לעיתים חיפוש מהיר ימצא כלי לשחרור המידע שיצרו חברות אבטחת מידע. גניבת נתוני אשראי. פעילות נוספת החביבה על עבריינים ברשת היא
גניבה של נתונים מתוך מחשבים של עסקים. סוג אחד של נתונים שמייצר להם הכנסה הוא
נתוני אשראי. כאשר האקר מצליח לפרוץ למחשבים של חברה הוא מתחיל לחפש בהם נתוני
אשראי, אותם הוא משדר אל שרת פיקוד ושליטה שנמצא ברשותו, ולאחר מכן את הנתונים הוא
מוכר בשוק השחור העצום שפועל סביב סחר בנתונים. המחירים לנתוני אשראי אינם גבוהים,
אך אם נמצאה כמות יפה של נתונים הדבר יכול להצטבר לרווח נחמד. העבריינים שקונים את
הנתונים כבר הם כאלה המתמחים בשימוש בהם כדי לשלוף כסף מחשבונות הלקוחות והלבנתם.
מעבר לנזק הישיר ללקוחות של התקפה כזאת, מדובר גם בפגיעה קשה במוניטין החברה ממנו
נגנבו הנתונים. לכן, חשוב מאוד להסתמך על חברת סליקה אמינה, הפועלת תחת תקן PCI DSS Levenl 1, אשר מבטיח כי נתוני האשראי נשמרים בשרתים
מאובטחים ולעולם לא במחשבי החברה. גניבת מידע רגיש. סוג נוסף של נזק שיכול להיגרם לעסקים קטנים הוא גניבה של נתונים
חסויים של העסק – כגון קוד המקור של תוכנה או אפליקציה, נכסי IP אחרים, מחירונים, רשימות של לקוחות, תוכניות אסטרטגיות ועוד. אפשר
לסמוך על האקרים שהם יימצאו שימוש ראוי למידע הזה, שגם יכניס להם כסף. השתלטות על אתר אינטרנט. סיכון נוסף שתופס תאוצה בא לידי ביטוי פחות
בנזק כספי ויותר בפגיעה במוניטין, נגרם כתוצאה מהשתלטות עוינת על אתר החברה. באם
לחברה יש אתר פעיל, ישנה אפשרות שהאקרים ישתמשו באתר כדי להדביק את המבקרים בו.
אפשרות אחרת ניתן למצוא במקרה שעלה לכותרות לאחרונה, בו האקרים שתלו קוד זדוני יחד
עם תוכנה שהוצעה להורדה באתר של ספקית תוכנה. כל מי שהוריד את התוכנה של אותה חברה
גם קיבל "במתנה" קוד זדוני למחשב שלו – ניתן לדמיין את הנזק שנגרם לאותה
חברה. מתקפות DDoS. מתקפות
מסוג "מניעת שירות" נוצרות כאשר האקר מייצר עומסים גבוהים על אתר החברה
עד שהוא מושבת. ישנם כיום אתרים שמאפשרים יצירת מתקפה שכזו על ידי כל אחד, תוך
שניות, ובמחיר שווה לכל תוקף. לעיתים מדובר בפעילות שהוזמנה על ידי מתחרה, לעיתים
מדובר בדרישת כסף כדי להפסיק את המתקפה. עם זאת, בקרב עסקים קטנים מדובר במתקפה
נדירה יותר. אלה אינן מתקפות חמורות
מבחינת סיכון וישנם כלים המסיטים מתקפות שכאלה. מקפצה להתקפה. האיומים שלעיל הם הסיכונים המיידים, אבל מאחר והעולם הפך לרשת אחת
גדולה, עסקים קטנים הם לעיתים רק מקפצה כדי לחדור לארגונים גדולים יותר אליהם העסק
מחובר. כך לדוגמא, האקר המעוניין לחדור לארגון עם רמת הגנה גבוהה, כגון חברת
תשתיות לאומית., יחפש עסק קטן שעובד אותה החברה, לדוגמא חברה המספקת תלושי שכר.
החברה הקטנה יותר כנראה מוגנת ומודעת פחות לאיומים, לכן ניתן לפרוץ אליה בקלות רבה
יותר. לאחר שנפרצה ניתן להשתמש בתקשורת שלה כדי להעביר קוד זדוני לשרתי חברת
התשתיות הגדולה – נניח באמצעות שליחת הודעת דואר אלקטרוני הנראית אמיתית לחלוטין,
ומגיעה מכתובת החברה, אך במקום להכיל תלוש משכורת היא מכילה קוד שיחדור לארגון
הגדול. משם הדרך לגרימת נזק או לריגול היא קטנה. הסיכון כאן הוא לפגיעה ביחסים עם
לקוח גדול. סוף סוף הגענו לעניין המרכזי: כיצד להגן על עסק קטן?
|
![]() |