Hvorfor små bedrifter er et mål

Modul 1: Hvorfor du er et mål · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du forklare hvordan angripere jobber (automatisert, pengedrevet, opportunistisk) og hvorfor «vi er for små» ikke stemmer.
Nøkkelbegreper: trussel, sårbarhet, risiko, opportunistisk angrep, målrettet angrep, cyberkriminalitet som tjeneste, angrepsflate

«Hva skulle de med oss?»

Det spørsmålet hører du hos nesten alle små bedrifter. Et bakeri, et regnskapskontor med tre ansatte, en fotballklubb: det finnes vel større fisk å fange? Tanken bak er at en angriper først velger et mål og deretter finner ut hvordan han kommer seg inn. For en liten del av angrepene stemmer det. For den store majoriteten fungerer det akkurat motsatt: angriperen leter først etter en svak plass, og det betyr lite for ham hvem den tilhører.

For å forstå dette godt trenger du tre begreper som går igjen i hele dette kurset.

• En trussel er noe som kan forårsake skade: en svindler som sender falske fakturaer, et løsepengevirus, en kollega som ved et uhell deler feil fil.
• En sårbarhet er en svak plass som gjør at trusselen kan slå til: et passord du også bruker hos en nettbutikk, et programtillegg som ikke har fått oppdatering på et år, en betalingsprosess uten kontroll.
• En risiko er kombinasjonen: hvor stor er sjansen for at en trussel slår til gjennom en sårbarhet, og hvor alvorlig er det da? Dette skrives ofte som risiko = sannsynlighet x konsekvens.

En bedrift uten sårbarheter finnes ikke. Målet med sikkerhet er derfor ikke «null risiko», men å gjøre de største risikoene så små at du kan leve med dem.

Opportunistisk eller målrettet

Det finnes grovt sett to typer angrep.

Ved et målrettet angrep velger angriperen én organisasjon. Han finner ut hvem som jobber der, hvem som betaler fakturaene, hvilke leverandører som finnes, og tilpasser angrepet sitt deretter. Det tar tid, så det må gi noe tilbake. Tenk deg en svindler som vet at bedriften din denne måneden skal betale for en stor maskin, og akkurat da sender et «endret kontonummer» fra leverandøren.

Ved et opportunistisk angrep er det motsatt. Angriperen retter seg mot en svak plass som finnes hos tusenvis av organisasjoner samtidig, og tar det han finner. Det er ikke noe personlig valg for din bedrift. Du er bare en av adressene på listen.

Små bedrifter rammes først og fremst av den andre typen. Det er ikke uflaks, det er matematikk: hvis et angrep ikke koster noe å gjenta, lønner det seg å slippe det løs på alle.

Hvordan automatisering gjør angrepet billig

En angriper sitter ikke og taster inn IP-adresser for hånd. Han bruker programmer som døgnet rundt søker gjennom internett. En slik skanner spør adresse etter adresse: hvilken tjeneste kjører her, hvilken versjon, er det en innloggingsside åpen? I løpet av noen timer er en stor del av internett gjennomsøkt.

Tenk deg at det blir kjent en sårbarhet i et mye brukt programtillegg for nettbutikker. Dagen etter leter en skanner etter alle nettsteder med det programtillegget. Den finner nettbutikken til et advokatkontor som aldri har sett på siden sin igjen, nettsiden til en forening, og www.example.com til Bakeriet Example. Skanneren vet ikke hva et bakeri er, og det bryr den seg heller ikke om. Den ser bare: gammel versjon, altså treff.

Det samme skjer med innlogging. Lister med millioner av lekkede kombinasjoner av e-postadresse og passord blir automatisk prøvd mot e-post, regnskap og sosiale medier (leksjon 1.4). Og phishing-e-poster sendes ut i store mengder; hvis en liten del av mottakerne klikker, er kampanjen allerede lønnsom.

I tillegg trenger du ikke lenger være hacker selv for å angripe. Det har oppstått et helt marked med cyberkriminalitet som tjeneste: den ene utvikler løsepengeviruset og leier det ut, den andre selger stjålne innloggingsopplysninger, en tredje selger tilgang til bedriftsnettverk som allerede står åpne. Microsoft beskriver i sin sikkerhetsblogg hvordan stjålne data blir samlet, videresolgt og til slutt tilbudt som tilgang til bedrifter. Terskelen for å delta er dermed lav, og antallet angripere stort.

Hvor pengene ligger

Nesten alle angrep på små bedrifter handler om penger. Pengene kommer inn på noen få måter:

1. Betale direkte. Du eller kollegaen din overfører penger til feil konto: en falsk faktura, en hasteforespørsel «fra direktøren» (leksjon 1.2).
2. Løsepenger. Filene dine blir kryptert og du må betale for å få dem tilbake, eller for å hindre at stjålne data blir offentliggjort (leksjon 1.3).
3. Videresalg. Innloggingsopplysninger, kundedata eller tilgang til systemene dine blir solgt til noen som vil bruke dem (leksjon 1.4).
4. Bruke systemene dine. Postboksen din sender spam, nettsiden din sprer skadevare, serveren din gjør kryptomining. Du betaler regningen i form av et dårlig omdømme eller en blokkert e-postadresse.
5. Via deg til en annen. Du er leverandør til en større bedrift. En angriper som overtar postboksen din, kan sende falske fakturaer til kundene dine på dine vegne.

Små bedrifter er attraktive av to grunner. De har faktisk penger på kontoen og betaler fakturaer, men de har ofte ingen IT-avdeling, ingen firøyneprinsipp ved betalinger og ingen godt vedlikeholdt sikkerhetskopi. Det øker sjansen for å lykkes.

Angrepsflaten din

Alt en angriper kan forsøke utenfra, kalles angrepsflaten din. For en liten bedrift er den større enn du tror:

• nettsiden din, med CMS-et, programtillegg og administrasjonssiden;
• e-posten din: postboksene, men også domenet ditt, som en svindler kan etterligne hvis SPF, DKIM og DMARC ikke er riktig satt opp (modul 4);
• alle nettbaserte kontoer: bank, regnskap, nettbutikkplattform, sosiale medier, registraren for domenet ditt;
• enhetene: bærbare datamaskiner, telefoner, ruteren, nettverksdisken, skriveren;
• menneskene: alle som leser e-post, betaler fakturaer eller tar telefonen;
• leverandørene dine: nettsidebyggeren med en administratorkonto, IT-bedriften med fjerntilgang (modul 7).

Hver del du ikke lenger bruker, men som fortsatt er online, er ekstra flate uten nytte. Et gammelt testnettsted på test.example.com, en glemt FTP-konto fra en tidligere nettsidebygger, en konto hos en tjeneste du sa opp for tre år siden: der følger ingen med lenger, så det er der sårbarhetene ligger.

Fallgruver i tankegangen

«Vi har ikke noe av verdi.»

Du har i hvert fall en bankkonto, en postboks kundene stoler på, og kundedata. Det er nok.

«Vi har antivirus, så vi er trygge.»

Antivirus hjelper mot en del av skadevaren. Det gjør ingenting mot en kollega som betaler en ekte utseende faktura med et annet kontonummer, eller mot et passord som er lekket fra et annet nettsted.

«IT-bedriften vår ordner det.»

Kanskje. Men vet du hva de faktisk ordner? En IT-bedrift sørger ofte for oppdateringer og et virusprogram, men ikke for betalingsprosedyren din, passordpolicyen din eller tilgangen til nettsidebyggeren din. Hvem som gjør hva, må dere avtale (modul 7).

«Det skjer ikke med oss, det har aldri skjedd.»

Ofte vet du det rett og slett ikke. En overtatt postboks kan bli lest ubemerket i flere måneder før noen misbruker den.

I praksis: slik ser det ut

Et eksempel, satt sammen av situasjoner som ofte forekommer. Et lite regnskapskontor (fire personer) hadde en nettside på et CMS som den forrige nettsidebyggeren hadde laget. Ingen logget seg lenger inn der, så ingen så varslene om oppdateringer. En mandag morgen lå det en melding fra webhotell-leverandøren i postboksen: fra siden ble det spredt phishingsider. Loggene viste at en skanner hadde funnet en kjent sårbarhet i et gammelt skjema-programtillegg, samme dag som hundrevis av andre nettsteder. Kontoret var aldri «utvalgt». Gjenopprettingen tok en uke, og domenenavnet havnet en stund på en blokkeringsliste, slik at kontorets e-post havnet i spam-mappen hos kundene.

Sårbarheten kunne vært forhindret med én enkelt oppdatering. Det er dette resten av dette kurset handler om: ikke perfekt sikkerhet, men den grunnleggende beskyttelsen som stopper de billige, massive angrepene.

Oppsummering

• En risiko er kombinasjonen av en trussel og en sårbarhet: sannsynlighet x konsekvens.
• De fleste angrep på små bedrifter er opportunistiske: først den svake plassen, så offeret.
• Automatisering og cyberkriminalitet som tjeneste gjør angrep billige, så det lønner seg å slippe dem løs på alle.
• Nesten alt handler om penger: falske betalinger, løsepenger, videresalg av data eller misbruk av systemene dine.
• Angrepsflaten din består av nettside, e-post og domene, kontoer, enheter, mennesker og leverandører; glemte deler er de farligste.

Quiz

Oppgave

Oppgave A1.1: Trussel, sårbarhet og risiko. Du får fire korte situasjoner fra små bedrifter. Angi for hver situasjon hva trusselen er og hva sårbarheten er, og anslå sannsynlighet og konsekvens (lav, middels, høy). Sett deretter de fire i rekkefølge fra størst til minst risiko. Programmet sjekker svarene dine og forklarer hvorfor for hver situasjon.

Oppgave D1.1: Kartlegg angrepsflaten din. Lag en liste over alt bedriften din har stående online: nettsider og underdomener, kontoer, enheter med forbindelse utad, og hvem som har tilgang utenfra. Noter ved hver del om du fortsatt bruker den og hvem som er eier.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• Hjelp! Nettstedet mitt er hacket. Hvordan løser eller forebygger jeg det?
• Råd fra NSM for enkeltpersonforetak og små og mellomstore bedrifter: https://nsm.no/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (engelsk): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/