Proč jsou malé firmy terčem útoků

Modul 1: Proč jste terčem i Vy · Doba čtení: 9 minut

Cíl lekce: Po této lekci dokážete vysvětlit, jak útočníci pracují (automatizovaně, zaměřeně na peníze, oportunisticky) a proč tvrzení „jsme příliš malí" neplatí.
Klíčové pojmy: hrozba, zranitelnost, riziko, oportunistický útok, cílený útok, kyberzločin jako služba, útočná plocha

„Co by od nás vůbec chtěli?"

Tuto otázku slyšíte téměř v každé malé firmě. Pekařství, účetní kancelář se třemi lidmi, fotbalový klub: přece existují větší ryby? Za touto myšlenkou se skrývá představa, že útočník si nejprve vybere cíl a teprve pak hledá, jak se dostane dovnitř. U malé části útoků to tak skutečně je. U naprosté většiny to ale funguje přesně obráceně: útočník nejprve hledá slabé místo a vůbec mu nezáleží na tom, komu patří.

Abyste tomu dobře porozuměli, potřebujete tři pojmy, které se v celém tomto kurzu opakují.

• Hrozba je něco, co může způsobit škodu: podvodník, který posílá falešné faktury, ransomware, kolega, který omylem sdílí špatný soubor.
• Zranitelnost je slabé místo, kterým může hrozba udeřit: heslo, které používáte i v internetovém obchodě, plugin, který už rok nedostal aktualizaci, platební proces bez kontroly.
• Riziko je jejich kombinace: jak velká je pravděpodobnost, že hrozba udeří přes zranitelnost, a jak vážné by to bylo? Často se to zapisuje jako riziko = pravděpodobnost x dopad.

Firma bez zranitelností neexistuje. Cílem zabezpečení proto není „nulové riziko", ale snížení největších rizik natolik, aby s nimi bylo možné žít.

Oportunistický, nebo cílený

Útoky se zhruba dělí na dva druhy.

Při cíleném útoku si útočník vybere jednu konkrétní organizaci. Zjistí, kdo tam pracuje, kdo platí faktury, jací jsou dodavatelé, a podle toho útok přizpůsobí. To stojí čas, takže se to musí vyplatit. Představte si podvodníka, který ví, že Vaše firma tento měsíc platí za velký stroj, a přesně v tu chvíli pošle „změněné číslo účtu" dodavatele.

Při oportunistickém útoku je to naopak. Útočník se zaměří na slabé místo, které se vyskytuje u tisíců organizací současně, a bere, co najde. Vaše firma není žádnou osobní volbou. Jste prostě jedna z adres na seznamu.

Malé firmy jsou postihovány především druhým typem. Není to smůla, je to matematika: pokud opakování útoku nic nestojí, vyplatí se ho spustit na všechny.

Jak automatizace útok zlevňuje

Útočník neťuká IP adresy ručně. Používá programy, které ve dne v noci prohledávají internet. Takový skener se ptá adresu po adrese: jaká služba tu běží, jaká verze, je tu otevřená přihlašovací stránka? Během několika hodin je projeta velká část internetu.

Představte si, že se objeví zranitelnost v často používaném pluginu pro internetové obchody. Druhý den skener hledá všechny stránky s tímto pluginem. Najde e-shop advokátní kanceláře, která se na svůj web už roky nepodívala, stránky nějakého spolku a www.example.com pekařství Example. Skener neví, co je to pekařství, a ani ho to nezajímá. Vidí jen: stará verze, tedy zásah.

Totéž se děje s přihlašováním. Seznamy s miliony uniklých kombinací e-mailové adresy a hesla se automaticky zkouší na poště, účetnictví i sociálních sítích (lekce 1.4). A phishingové e-maily se rozesílají ve velkém; pokud klikne jen malá část příjemců, kampaň je už zisková.

K tomu navíc platí, že útočit už nemusíte umět sami. Vznikl celý trh kyberzločinu jako služby: jeden vyvíjí ransomware a pronajímá ho, druhý prodává ukradené přihlašovací údaje, třetí prodává přístup do firemních sítí, které jsou už otevřené. Microsoft ve svém bezpečnostním blogu popisuje, jak se ukradená data shromažďují, dále prodávají a nakonec nabízejí jako přístup do firem. Práh pro zapojení je tak nízký a počet útočníků vysoký.

Kde jsou peníze

Téměř všechny útoky na malé firmy se točí kolem peněz. Ty se dostávají dovnitř několika způsoby:

1. Přímá platba. Vy nebo Váš kolega pošlete peníze na špatný účet: falešná faktura, naléhavá žádost „od ředitele" (lekce 1.2).
2. Výkupné. Vaše soubory jsou zašifrovány a musíte zaplatit, abyste je dostali zpět, nebo aby ukradená data neunikla na veřejnost (lekce 1.3).
3. Další prodej. Přihlašovací údaje, zákaznická data nebo přístup do Vašich systémů se prodávají tomu, kdo s nimi chce něco udělat (lekce 1.4).
4. Využití Vašich systémů. Vaše schránka rozesílá spam, Váš web šíří malware, Váš server těží kryptoměny. Účet platíte vy, a to v podobě poškozené reputace nebo zablokované e-mailové adresy.
5. Přes Vás k někomu jinému. Jste dodavatelem větší firmy. Útočník, který ovládne Vaši schránku, může jménem Vaší firmy posílat falešné faktury Vašim zákazníkům.

Malé firmy jsou přitom atraktivní ze dvou důvodů. Mají skutečně peníze na účtu a platí faktury, ale často nemají IT oddělení, zásadu čtyř očí u plateb ani dobře vedenou zálohu. To zvyšuje šanci na úspěch útoku.

Vaše útočná plocha

Vše, co se útočník zvenčí může pokusit zneužít, se nazývá útočná plocha. U malé firmy je větší, než si myslíte:

• Váš web, včetně redakčního systému, pluginů a administrace;
• Váš e-mail: schránky, ale i doménu, kterou může podvodník napodobit, pokud nemáte správně nastavené SPF, DKIM a DMARC (modul 4);
• všechny online účty: banka, účetnictví, platforma internetového obchodu, sociální sítě, registrátor domény;
• zařízení: notebooky, telefony, router, síťový disk, tiskárna;
• lidé: každý, kdo čte poštu, platí faktury nebo zvedá telefon;
• Vaši dodavatelé: tvůrce webu se správcovským účtem, IT firma se vzdáleným přístupem (modul 7).

Každá součást, kterou už nepoužíváte, ale je stále online, je navíc plochou bez užitku. Starý testovací web na test.example.com, zapomenutý FTP účet od předchozího tvůrce webu, účet u služby, kterou jste před třemi lety zrušili: na to už nikdo nedává pozor, a právě tam se skrývají zranitelnosti.

Úskalí v uvažování

„Nemáme nic cenného."

Přinejmenším máte bankovní účet, e-mailovou schránku, které důvěřují zákazníci, a data zákazníků. To stačí.

„Máme antivirus, takže jsme v bezpečí."

Antivirus pomáhá proti části škodlivého softwaru. Nic nezmůže proti kolegovi, který zaplatí věrohodně vypadající fakturu s jiným číslem účtu, ani proti heslu, které uniklo na jiném webu.

„To řeší naše IT firma."

Možná. Ale víte, co přesně řeší? IT firma se často stará o aktualizace a antivirový program, ale ne o Váš platební postup, politiku hesel nebo přístup Vašeho tvůrce webu. Kdo co dělá, je potřeba si dohodnout (modul 7).

„Nás se to netýká, ještě se nám to nestalo."

Často to prostě nevíte. Ovládnutá e-mailová schránka může být měsíce nenápadně sledována, než ji někdo zneužije.

V praxi: takhle to vypadá

Příklad sestavený ze situací, které se často opakují. Malá účetní kancelář (čtyři lidé) měla web na redakčním systému, který postavil předchozí tvůrce webu. Nikdo se tam už nepřihlašoval, takže nikdo neviděl upozornění na aktualizace. V pondělí ráno přišlo do schránky upozornění od hostingové společnosti: z webu se šíří phishingové stránky. Z logů vyplynulo, že skener našel známou zranitelnost ve starém pluginu pro formuláře, a to ve stejný den jako u stovek dalších webů. Kancelář nebyla nikdy „vybrána". Náprava trvala týden a doménové jméno bylo nějakou dobu na blokovacím seznamu, takže pošta kanceláře padala zákazníkům do spamu.

Zranitelnosti šlo předejít jedinou aktualizací. O tom je zbytek tohoto kurzu: nikoli o dokonalém zabezpečení, ale o základu, který zastaví levné a masové útoky.

Shrnutí

• Riziko je kombinací hrozby a zranitelnosti: pravděpodobnost x dopad.
• Většina útoků na malé firmy je oportunistická: nejprve slabé místo, teprve pak oběť.
• Automatizace a kyberzločin jako služba dělají útoky levnými, takže se vyplatí spustit je na všechny.
• Téměř vše se točí kolem peněz: falešné platby, výkupné, další prodej dat nebo zneužití Vašich systémů.
• Vaše útočná plocha tvoří web, pošta a doména, účty, zařízení, lidé a dodavatelé; nejnebezpečnější jsou zapomenuté součásti.

Kvíz

Úkol

Úkol A1.1: Hrozba, zranitelnost a riziko. Dostanete čtyři krátké situace z malých firem. U každé situace uveďte, co je hrozba a co je zranitelnost, a odhadněte pravděpodobnost a dopad (nízký, střední, vysoký). Následně seřaďte všechny čtyři situace od největšího po nejmenší riziko. Program Vaše odpovědi zkontroluje a u každé situace vysvětlí proč.

Úkol D1.1: Zmapujte si svou útočnou plochu. Vytvořte seznam všeho, co má Vaše firma online: weby a subdomény, účty, zařízení s připojením ven, a kdo má přístup zvenčí. U každé položky uveďte, zda ji ještě používáte a kdo je jejím vlastníkem.

Další čtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Pomoc! Můj web byl napaden. Jak to vyřešit nebo tomu předejít?
• NÚKIB, doporučení pro OSVČ a malé a střední podniky: https://nukib.gov.cz/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (anglicky): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/