A koronavírus-járvány során tapasztalható felfutás óta a kiberbűnözés sokmilliárd dollár iparággá nőtt ki magát, amelyben igencsak professzionális módszerekkel dolgoznak a bűnözők. Ha gazdasági volumenét vennénk figyelembe, a világ harmadik legnagyobb gazdasága lehetne a kiberbűnözés, méretében közvetlenül az Amerikai Egyesült Államok (USA) és Kína után következne.

Évente 71,1 millió ember válik kiberbűnözés áldozatává a világon. A kár, amit ezek a támadások okoznak évente átlagosan 15 százalékkal nő globálisan. Minden 40. másodpercben megtámad egy zsarolóprogram egy vállalkozást, és ezek a számok a mesterséges intelligencia miatt még tovább fognak nőni.

Ebben a közegben a kis- és középvállalkozások (kkv-k) váltak a támadások egyik legkedveltebb célpontjává.  Nem véletlenül: ők ugyanis elég értékesek ahhoz, hogy érdemes legyen rájuk vadászni, ugyanakkor túl kicsik ahhoz, hogy drága védelmi rendszereket működtessenek.

Sokféleképpen bepróbálkoznak

A módszerek elsőre meglepően egyszerűek, mégis milliárdos károkat okoznak. Az Egyesült Államokban például a hatóságok évek óta figyelmeztetnek a „business email compromise” típusú csalásokra, ekkor a támadók hamisított e-mailekkel próbálnak átutalásokat kicsikarni, gyakran a cégvezető nevében.

Az Európai Unió (EU) kiberbiztonsági ügynöksége is hasonló trendeket lát: a kisebb cégeknél a legtöbb támadás nem is a technikai hibákat, hanem az emberi figyelmetlenséget használja ki. Egy meggyőzően megírt e-mail vagy telefonhívás sokszor többet ér, mint a legjobb számítógépes programok feltörése.

De mi a helyzet itthon?

Magyarország sem marad ki ebből a folyamatból. Itthon sokáig inkább csak a magánszemélyeknél próbálkoztak a bűnözők, azonban a Magyar Nemzeti Bank (MNB) legutóbbi statisztikája szerint meglepően magas számban lettek célpontok a vállalkozások is, a második negyedévben

  • több mint 1024 cég esett áldozatul,
  • közel 1,9 milliárd forintos összesített kárt elszenvedve.

Ez korábban soha nem látott arány, hiszen a lakossági áldozatokhoz képest eddig jóval kevesebb vállalati ügyfelet érintettek a támadások, 25–30 lakossági áldozatra jutott egy-egy céges károsult.

A cégek átlagosan több mint 1,8 millió forintos veszteséget könyvelhettek el, persze itt is nagy a szórás, gondoljunk csak a Pepco Csoportot ért 6 milliárd forintos kibertámadásra. Ezt erősíti az az adat is, miszerint az áldozatok több mint fele 100 ezer forint és 1 millió forint közötti kárt szenvedett el, ugyanakkor minden hatodik érintett egymilliónál is többet bukott.

Digitális éretlenség

A helyzetet súlyosbítja, hogy a hazai vállalkozások (különösen a kkv-k) jó része még mindig le van maradva a digitalizációban, sokan papíralapú számlákkal dolgoznak, vagy olyan rendszereket használnak, amelyekben nincsenek beépített biztonsági funkciók.

„Azoknál a vállalkozásoknál, ahol még mindig kézi számlákat állítanak ki, és nincsenek digitális rendszereik, nem lehet bevezetni a mesterséges intelligencia (AI) alapú megoldásokat” – hangsúlyozta nemrégiben egy sajtóeseményen Ács Zoltán, a Magyar Kereskedelmi és Iparkamara Kockázati Tőkealap-kezelő vezérigazgató-helyettese, kiemelve, hogy a hazai kkv-k digitalizációs lemaradása jelentős.

A szakember arra is emlékeztetett, hogy a hazai e-kereskedelmi forgalom aránya mindössze 3,8–4 százalék, ami 60 százalékos lemaradást jelent a régió élmezőnyéhez képest. Ez persze nemcsak a piaci lehetőségek kihasználását nehezíti, hanem azt is, hogy a cégek rutint szerezzenek az online működés és az ahhoz kapcsolódó biztonsági szabályok terén.

Hogyan próbálkoznak?

A támadások formái sokszínűek, de a forgatókönyv szinte mindig ugyanaz: a bűnözők igyekeznek beférkőzni a bizalom réseibe. Van, amikor egy ismerős partner nevében érkezik a hamisított számla, máskor a vezető sürgető hangú levele érkezik a könyvelő postafiókjába, vagy egy „banki ügyintéző” hívja fel a pénzügyes kollégát, hogy azonnal ossza meg a belépési kódokat. Nem ritkák a zsarolóvírusok sem: a támadók titkosítják a cég teljes adatállományát, majd váltságdíjat követelnek. Sok esetben az a gond, hogy a pénz mindkét esetben külföldre került, és nem sikerült visszaszerezni.

Miért pont a kkv-k válnak áldozattá? A válasz egyszerű: mert a támadók pontosan tudják, hogy a cégeknek kevés az erőforrásuk, nincs dedikált informatikai csapatuk, és sokszor belső ellenőrzési rendszerük is hiányos. Nem ritka, hogy ugyanaz a személy felel a beszerzésért, a számlázásért és a kifizetésekért – ha ő hibázik, nincs, aki észrevegye. Ehhez társul a kulturális tényező: a „mi így szoktuk” hozzáállás sok helyen még mindig erősebb, mint az új szabályok bevezetése.

Erre kellene figyelni

Pedig a védekezés sokszor nem is pénz, hanem figyelem kérdése. Egy telefonhívás a partner felé, mielőtt nagyobb utalást teljesítenénk, vagy egy egyszerű szabály, hogy bizonyos összeghatár felett két embernek kell jóváhagynia a kifizetést, rengeteg problémát megelőzhet. A kétfaktoros azonosítás, a rendszeres munkatársi képzés, vagy épp egy előre kidolgozott válságterv szintén olyan eszközök, amelyek jelentősen csökkentik a kockázatokat.

Hosszabb távon azonban nem kerülhető el a digitális felzárkózás. Az elektronikus számlázás, a felhőalapú könyvelés vagy a mesterséges intelligenciát is alkalmazó rendszerek nemcsak a hatékonyságot növelik, hanem olyan automatikus biztonsági funkciókat is kínálnak, amelyek a csalások egy részét eleve kiszűrik. Itt a generációváltás és a vállalati kultúra átalakulása kulcsfontosságú. Amíg a cégek beragadnak a „régi, bevált módszerekbe”, addig a bűnözők mindig egy lépéssel előrébb lesznek.

  • Fontos, hogy a csalók a legegyszerűbb utakat keresik: nem a rendszereket törik fel, hanem az embereket tévesztik meg. Egy hamis e-mail vagy telefonhívás sokszor elég a milliós károkhoz.
  • A kkv-k a legsebezhetőbbek: kevés a belső kontroll, nincs külön informatikai csapat, és gyakran a digitális lemaradás is növeli a kockázatokat.