Злоумышленник выбирает жертву по двум признакам: насколько легко зайти и сколько удастся получить. Под оба подходит почти любая компания с ИТ-инфраструктурой и деньгами на счёте, и средний бизнес здесь не исключение.
Заработать злоумышленник может тремя способами: вымогательством, кражей данных или остановкой бизнеса. Для этого годится почти каждая компания, у которой есть клиенты, данные и процессы, зависящие от ИТ. Поэтому я исхожу из того, что любая компания каждую минуту находится в зоне риска.
Атака подешевела
Фишинговое письмо, сайт-клон или поддельный голос руководителя сегодня делаются быстро и дёшево: генеративный ИИ сильно снизил цену такой работы. Массовая рассылка уходит сразу сотням компаний.
К этому добавляются утечки. Баз с реальными именами, должностями и телефонами сотрудников в открытом доступе стало так много, что письмо «от директора» или звонок «из банка» выглядят всё убедительнее, тем более что сопоставлять эти данные помогает тот же ИИ. Человеку без подготовки отличить подделку от настоящего сообщения всё сложнее.
Подрядчик как дверь к заказчику
Отдельный путь — цепочка поставок. У крупного бизнеса десятки контрагентов, и многие связаны с ним сетью: удалённая поддержка, общий доступ к системам, обмен документами. Злоумышленники давно поняли, что взломать небольшого подрядчика проще, чем крупную компанию, а дальше можно зайти к заказчику от его имени.
Поэтому у подрядчика крупных компаний к собственной ценности для злоумышленника добавляется ценность его клиентов. А если через инфраструктуру компании атаковали госкомпанию или субъект критической информационной инфраструктуры, ей придётся отвечать на вопросы спецслужб. Крупным компаниям я советую очень серьёзно подходить к выбору контрагентов.
Сколько это стоит
«Очень дорого» — понятие относительное. Десять миллионов рублей для малого бизнеса — огромные деньги, для крупного — недельный бюджет маркетинга. Попав внутрь, злоумышленник постарается извлечь максимум: украсть данные, зашифровать системы и потребовать выкуп, в худшем случае — уничтожить инфраструктуру целиком. Сверху ложатся штрафы за утечку персональных данных, а за повторную утечку — оборотные, от годовой выручки.
С чего начать
Первый шаг — трезво оценить, какие риски для компании реальны. Если сейчас оценка держится на ощущении, её полезно перевести в цифру, которую можно перепроверить через полгода.
Задайте себе вопрос: «Что вызывает у вас наибольшее беспокойство?» Потом сверьте ответ с тем, что в компании уже есть: план реагирования, свежая независимая оценка защищённости, средства защиты. На интенсиве мы с Романом Жарковым разбираем эти темы, и каждый участник получает по своей компании карту рисков, список первоочередных мер и план развития ИБ.