Miksi pienet yritykset ovat maalitauluja

Moduuli 1: Miksi olet maalitaulu · Lukuaika: 9 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miten hyökkääjät toimivat (automatisoidusti, rahan perässä, tilaisuuden tullen) ja miksi "olemme liian pieniä" ei pidä paikkaansa.
Keskeiset käsitteet: uhka, haavoittuvuus, riski, tilaisuuteen perustuva hyökkäys, kohdennettu hyökkäys, rikollisuus palveluna, hyökkäyspinta

"Mitä he meiltä haluaisivat?"

Tuon kysymyksen kuulee lähes jokaiselta pieneltä yritykseltä. Leipomo, kolmen hengen tilitoimisto, jalkapalloseura: eihän kukaan kiinnostu niin pienestä kalasta? Ajatuksen taustalla on käsitys, että hyökkääjä valitsee ensin kohteen ja alkaa sitten etsiä keinoa päästä sisään. Pienessä osassa hyökkäyksiä näin käykin. Valtaosassa asia on juuri päinvastoin: hyökkääjä etsii ensin heikon kohdan, eikä hänelle juuri ole väliä kenen se on.

Jotta tämän ymmärtää kunnolla, tarvitaan kolme käsitettä, jotka toistuvat koko kurssin ajan.

• Uhka on jokin, joka voi aiheuttaa vahinkoa: huijari, joka lähettää väärennettyjä laskuja, kiristyshaittaohjelma, kollega, joka jakaa vahingossa väärän tiedoston.
• Haavoittuvuus on heikko kohta, jonka kautta tuo uhka pääsee iskemään: salasana, jota käytät myös verkkokaupassa, laajennus, joka ei ole saanut päivitystä vuoteen, maksuprosessi ilman valvontaa.
• Riski on näiden yhdistelmä: kuinka suuri on todennäköisyys, että uhka iskee haavoittuvuuden kautta, ja kuinka vakavaa se silloin on? Tämä kirjoitetaan usein muotoon riski = todennäköisyys x vaikutus.

Yritystä ilman haavoittuvuuksia ei ole olemassa. Siksi tietoturvan tavoite ei ole "nollariski", vaan suurimpien riskien pienentäminen niin, että niiden kanssa voi elää.

Tilaisuuteen perustuva vai kohdennettu

Hyökkäyksiä on karkeasti kahdenlaisia.

Kohdennetussa hyökkäyksessä hyökkääjä valitsee yhden organisaation. Hän selvittää, ketkä siellä työskentelevät, kuka maksaa laskut, mitkä ovat toimittajat, ja räätälöi hyökkäyksensä sen mukaan. Tämä vie aikaa, joten sen pitää kannattaa. Ajattele huijaria, joka tietää yrityksesi maksavan tässä kuussa ison koneen laskun, ja lähettää juuri silloin toimittajalta näyttävän viestin "muuttuneesta tilinumerosta".

Tilaisuuteen perustuvassa hyökkäyksessä toimitaan päinvastoin. Hyökkääjä kohdistaa toimintansa heikkoon kohtaan, joka esiintyy tuhansissa organisaatioissa samaan aikaan, ja ottaa mitä löytää. Yritystäsi ei ole valittu henkilökohtaisesti. Olet vain yksi osoite listalla.

Pienet yritykset kärsivät etenkin jälkimmäisestä. Se ei ole huonoa tuuria, vaan matematiikkaa: jos hyökkäyksen toistaminen ei maksa mitään, kannattaa se kohdistaa kaikkiin.

Miten automaatio tekee hyökkäyksestä halvan

Hyökkääjä ei istu näppäilemässä IP-osoitteita käsin. Hän käyttää ohjelmia, jotka käyvät internetiä läpi yötä päivää. Tällainen skanneri kysyy osoite osoitteelta: mikä palvelu täällä toimii, mikä versio, onko kirjautumissivu avoinna? Muutamassa tunnissa suuri osa internetistä on käyty läpi.

Oletetaan, että yleisesti käytetyssä verkkokaupan laajennuksessa löytyy haavoittuvuus. Seuraavana päivänä skanneri etsii kaikki sivustot, joilla tuo laajennus on käytössä. Se löytää lakiasiaintoimiston verkkokaupan, jonka sivustoa ei ole katsottu kertaakaan, yhdistyksen sivuston ja www.example.com, joka kuuluu Leipomo Examplelle. Skanneri ei tiedä mikä leipomo on, eikä se kiinnosta sitä. Se näkee vain: vanha versio, siis osuma.

Sama tapahtuu kirjautumisessa. Listoja, joissa on miljoonia vuotaneita sähköposti-salasana-yhdistelmiä, kokeillaan automaattisesti sähköpostiin, kirjanpitoon ja some-tileihin (oppitunti 1.4). Ja huijausviestejä lähtee liikkeelle suurina erinä: jos pienikin osa vastaanottajista klikkaa, kampanja on jo kannattava.

Lisäksi hyökätäkseen ei tarvitse enää olla itse hakkeri. On syntynyt kokonainen rikollisuus palveluna -markkina: joku kehittää kiristyshaittaohjelman ja vuokraa sen, toinen myy varastettuja kirjautumistietoja, kolmas myy pääsyn yritysverkkoihin, jotka ovat jo auki. Alankomaiden Microsoft kuvaa tietoturvablogissaan, miten varastetut tiedot kootaan yhteen, myydään eteenpäin ja lopulta tarjotaan yrityksiin pääsynä. Kynnys osallistua on näin matala, ja hyökkääjien määrä suuri.

Missä raha liikkuu

Lähes kaikki pieniin yrityksiin kohdistuvat hyökkäykset pyörivät rahan ympärillä. Raha tulee sisään muutamalla tavalla:

1. Suora maksu. Sinä tai kollegasi siirrätte rahaa väärälle tilille: väärennetty lasku, kiireellinen pyyntö "toimitusjohtajalta" (oppitunti 1.2).
2. Lunnaat. Tiedostosi salataan ja sinun pitää maksaa saadaksesi ne takaisin, tai estääksesi varastettujen tietojen julkaisemisen (oppitunti 1.3).
3. Jälleenmyynti. Kirjautumistiedot, asiakastiedot tai pääsy järjestelmiisi myydään sille, joka niistä hyötyy (oppitunti 1.4).
4. Järjestelmiesi käyttö. Sähköpostisi lähettää roskapostia, verkkosivustosi levittää haittaohjelmaa, palvelimesi louhii kryptovaluuttaa. Sinä maksat laskun huonona maineena tai estettynä sähköpostiosoitteena.
5. Sinun kauttasi toiseen. Olet suuremman yrityksen toimittaja. Hyökkääjä, joka kaappaa sähköpostisi, voi lähettää nimissäsi väärennettyjä laskuja asiakkaillesi.

Pienet yritykset ovat houkuttelevia kahdesta syystä. Niillä on rahaa tilillä ja ne maksavat laskuja, mutta niillä ei usein ole IT-osastoa, nelisilmäperiaatetta maksuissa eikä kunnolla ylläpidettyä varmuuskopiota. Tämä kasvattaa onnistumisen todennäköisyyttä.

Hyökkäyspintasi

Kaikkea, mitä hyökkääjä voi yrittää ulkopuolelta, kutsutaan hyökkäyspinnaksi. Pienelle yritykselle se on suurempi kuin luulet:

• verkkosivustosi: julkaisujärjestelmä, laajennukset ja hallintasivu;
• sähköpostisi: postilaatikot, mutta myös verkkotunnuksesi, jota huijari voi jäljitellä, jos SPF, DKIM ja DMARC eivät ole kunnossa (moduuli 4);
• kaikki verkkotilit: pankki, kirjanpito, verkkokauppa-alusta, some, verkkotunnuksesi rekisteröijä;
• laitteet: kannettavat, puhelimet, reititin, verkkolevy, tulostin;
• ihmiset: kaikki, jotka lukevat sähköpostia, maksavat laskuja tai vastaavat puhelimeen;
• toimittajasi: verkkosivuston rakentaja, jolla on ylläpitäjän tunnus, IT-yritys, jolla on etäyhteys (moduuli 7).

Jokainen osa, jota et enää käytä mutta joka on edelleen verkossa, on ylimääräistä pintaa ilman hyötyä. Vanha testisivusto osoitteessa test.example.com, unohtunut FTP-tunnus edelliseltä verkkosivuston rakentajalta, tili palvelussa, jonka irtisanoit kolme vuotta sitten: kukaan ei enää seuraa niitä, ja juuri siellä haavoittuvuudet lymyävät.

Ajatteluun liittyviä sudenkuoppia

"Meillä ei ole mitään arvokasta."

Sinulla on ainakin pankkitili, postilaatikko, johon asiakkaat luottavat, ja asiakastietoja. Se riittää.

"Meillä on virustorjunta, joten olemme turvassa."

Virustorjunta auttaa osaa haittaohjelmista vastaan. Se ei tee mitään kollegalle, joka maksaa aidon näköisen laskun väärälle tilinumerolle, tai salasanalle, joka on vuotanut toisesta palvelusta.

"IT-yrityksemme hoitaa sen."

Ehkä. Mutta tiedätkö mitä he hoitavat? IT-yritys huolehtii usein päivityksistä ja virustorjuntaohjelmasta, mutta ei maksukäytännöstäsi, salasanakäytännöstäsi tai verkkosivuston rakentajasi käyttöoikeuksista. Kuka tekee mitä, pitää sopia erikseen (moduuli 7).

"Meille se ei tapahdu, sitä ei ole koskaan tapahtunut."

Usein et vain tiedä sitä. Kaapattua postilaatikkoa voidaan lukea huomaamatta kuukausia ennen kuin sitä käytetään väärin.

Käytännössä: näin se näyttää

Esimerkki, koottu usein toistuvista tilanteista. Pienellä tilitoimistolla (neljä henkilöä) oli verkkosivusto julkaisujärjestelmällä, jonka edellinen verkkosivuston rakentaja oli tehnyt. Kukaan ei enää kirjautunut sinne, joten kukaan ei nähnyt päivitysilmoituksia. Eräänä maanantaiaamuna postilaatikossa oli webhotelliyrityksen ilmoitus: sivustolta levitettiin tietojenkalastelusivuja. Lokitiedoista selvisi, että skanneri oli löytänyt tunnetun haavoittuvuuden vanhasta lomakelaajennuksesta, samana päivänä kuin sadoilta muiltakin sivustoilta. Toimistoa ei ollut koskaan "valittu". Korjaaminen vei viikon, ja verkkotunnus oli jonkin aikaa estolistalla, minkä vuoksi toimiston sähköposti päätyi asiakkailla roskapostiin.

Haavoittuvuus olisi ollut estettävissä yhdellä päivityksellä. Siitä loppu tästä kurssista kertookin: ei täydellisestä tietoturvasta, vaan perusasioista, jotka pysäyttävät halvat, massamittaiset hyökkäykset.

Yhteenveto

• Riski on uhkan ja haavoittuvuuden yhdistelmä: todennäköisyys x vaikutus.
• Useimmat pieniin yrityksiin kohdistuvat hyökkäykset ovat tilaisuuteen perustuvia: ensin heikko kohta, sitten vasta uhri.
• Automaatio ja rikollisuus palveluna tekevät hyökkäyksistä halpoja, joten ne kannattaa kohdistaa kaikkiin.
• Lähes kaikki pyörii rahan ympärillä: väärät maksut, lunnaat, tietojen jälleenmyynti tai järjestelmiesi väärinkäyttö.
• Hyökkäyspintasi koostuu verkkosivustosta, sähköpostista ja verkkotunnuksesta, tileistä, laitteista, ihmisistä ja toimittajista; unohdetut osat ovat vaarallisimpia.

Tietovisa

Tehtävä

Tehtävä A1.1: Uhka, haavoittuvuus ja riski. Saat neljä lyhyttä tilannetta pienistä yrityksistä. Kerro jokaisesta tilanteesta, mikä on uhka ja mikä on haavoittuvuus, ja arvioi todennäköisyys ja vaikutus (matala, keskitaso, korkea). Laita sen jälkeen nämä neljä järjestykseen suurimmasta riskistä pienimpään. Ohjelma tarkistaa vastauksesi ja selittää jokaisen tilanteen kohdalla miksi.

Tehtävä D1.1: Hyökkäyspintasi kartoitus. Tee lista kaikesta, mitä yritykselläsi on verkossa: verkkosivustot ja aliverkkotunnukset, tilit, laitteet, joilla on yhteys ulospäin, ja ketkä pääsevät niihin ulkopuolelta käsiksi. Merkitse jokaisen kohdalle, käytätkö sitä vielä ja kuka on omistaja.

Lisälukemista

WebOké-artikkeleiden vaiheet pätevät WebOkén ympäristössä; muilla palveluntarjoajilla toiminta on vastaavaa.

• Apua! Sivustoni on hakkeroitu. Miten voin korjata tilanteen tai estää sen?
• Kyberturvallisuuskeskuksen ohjeet yksinyrittäjille ja pk-yrityksille: https://www.kyberturvallisuuskeskus.fi/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (englanniksi): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/