Kun murto maksaa vähemmän kuin illallinen, pienikin yritys kelpaa kohteeksi

Kuvittele hakkeri istumassa yön yli yrityksesi verkkosivujen ääressä ja kokeilee kärsivällisesti ovea toisensa jälkeen. Hän ei väsy, ei kyllästy eikä pidä taukoja. Aamulla hän on löytänyt raon. Lasku tästä työstä vain muutama dollari.

Tämä ei ole tulevaisuudenkuva. Juuri näin toimi hakkeri, josta uutistoimisto Reuters kertoi maanantaina 19. lokakuuta. Hän ei tehnyt työtä itse vaan antoi sen tekoälyagenteille ja ne murtautuivat yli sadan yrityksen verkkosivuille.

Hakkeri ulkoisti työnsä

Tarina paljastui sattumalta. Tietoturvayhtiö NorForgen tutkija Snorre Fagerland skannasi lokakuun alussa internettiä ja törmäsi hallintapaneeliin jonka ei olisi pitänyt näkyä kenellekään. Paneeli kuului Cairn-nimiseen tekoälytyökaluun, joka on alun perin tehty tietoturvatestaukseen. Sille annetaan kohde ja tavoite, ja se lähettää tekoälyagentit etsimään tietä perille.

Tällä kertaa työkalua käytti rikollinen. Koska hän oli jättänyt ohjauspaneelinsa auki, tutkijat pääsivät katsomaan hänen olkansa yli. Hyökkääjältä unohtui siis itseltään juuri se perusasia, jota hän etsi muilta.

Näkymä oli hämmentävä. Kiinaa puhuva hakkeri oli kirjoittanut agenteille vain lyhyen ohjeen: etsi verkkokaupasta keino ajaa omaa koodia palvelimella ja jätä jälkeesi takaovi, jonka kautta pääsee myöhemmin takaisin. Loput teki kone. Kampanja alkoi syyskuun lopulla, ja Reutersin mukaan agentit olivat viime viikkoon mennessä yrittäneet murtautua yli 1 200 sivustoon. Yli sataan ne pääsivät sisään.

Uhrien joukossa oli myös isoja nimiä, kuten maatalouskoneistaan tunnettu Deere, kodinkonevalmistaja SharkNinja ja moottorivalmistaja Cummins. Yhtiöiden mukaan vahingot jäivät rajallisiksi. Deere ei ole havainnut merkkejä pääsystä arkaluonteisiin tietoihin, SharkNinjalla murto osui erilliseen tuotetukisivustoon, ja Cummins selvittää, onko yhden sen alihankkijan ylläpitämä sivusto joutunut hyökkäyksen kohteeksi. Sitä, kuinka paljon tietoa ylipäätään vietiin, Reuters ei pystynyt varmistamaan.

Miksi tämä koskee myös sinun yritystäsi

Isot nimet keräävät otsikot, mutta tärkein havainto löytyy muualta. Hakkerin kohdelistalla oli ennen kaikkea tavallisia verkkokauppoja, joilla on satoja tuhansia kävijöitä. Siihen kokoluokkaan mahtuu moni suomalainenkin pk-yritys. Tutkijoiden esimerkeissä vilahtavat australialainen verkkokauppa, japanilainen jälleenmyyjä ja ravintolan kassajärjestelmä. Toisen samaa työkalua käyttäneen ryhmän tehtävänannoissa ei ollut edes teknisiä ohjeita, pelkkä käsky hakea luottokorttitietoja. Agentit selvittivät itse miten.

Moni yrittäjä ajattelee, ettei pieni yritys kiinnosta ketään. Ajatus on ymmärrettävä, koska se on pitkään pitänyt paikkansa. Kun hyökkääjän piti käyttää omia työtuntejaan, hänen kannatti valita isoja ja tuottoisia kohteita.

Nyt asetelma kääntyy ympäri. Koneen työtunti maksaa senttejä, valintoja ei tarvitse tehdä. Listalle voi laittaa tuhat yritystä ja katsoa kenen ovi aukeaa. Rikollisen ei tarvitse tietää mitä myyt tai kuka olet. Yrityksesi voi päätyä listalle pelkästään siksi, että sen verkkosivut löytyvät internetistä. Hän ei etsi kiinnostavinta kohdetta vaan helpointa.

Cumminsin tapauksessa kannattaa pysähtyä vielä yhteen yksityiskohtaan: murrettu sivusto ei ollut yhtiön itse ylläpitämä, vaan kumppanin. Sama asetelma on tuttu monesta pienyrityksestä. Verkkosivut teetettiin aikoinaan mainostoimistolla, verkkokauppa pyörii valmisalustalla ja sähköposti on jossain pilvessä. Kun kysyy, kuka niitä päivittää, vastauksena on yllättävän usein hiljaisuus.

Viisi dollaria yrityksestä

Reutersin jutun pysäyttävin luku liittyy rahaan. NorForgen arvion mukaan yksi hyökkäysprojekti maksoi tekoälyn käyttömaksuina keskimäärin noin viisi dollaria, kun mukaan lasketaan myös alkuunsa tyssäänneet yritykset. Koko kampanjan hinnaksi arvioitiin noin 5 000 dollaria. Suunnilleen joka kymmenes hyökkäys onnistui. Eli yksi murto maksoi noin 50 dollaria.

Luvut ovat tutkijoiden karkeita arvioita, eivät laskuista poimittuja summia ja ne voivat heitellä reilustikin. Suuruusluokka on silti selvä: murtautuminen yrityksen järjestelmiin maksaa nyt vähemmän kuin ravintolaillallinen kahdelle.

Kone on myös sinnikäs. Onnistuneisiin murtoihin kului keskimäärin vajaa vuorokausi ja yksi projekti jatkui yli viisi päivää. Ihminen olisi luovuttanut paljon aiemmin tai ainakin laskuttanut siitä paljon enemmän.

Rikolliset eivät keksineet mitään uutta

Uutisessa on myös rauhoittava puoli. Tekoäly ei keksinyt yhtään uutta tapaa murtautua. Tutkijoiden kuvaamissa tapauksissa sisään päästiin vanhoista tutuista syistä: päivittämättömien ohjelmistojen, vanhentuneiden komponenttien ja huolimattomien asetusten kautta. Yhdessä tapauksessa agentti löysi sivustolta sen ainoan asetuksen, joka ohjasi liikenteen haavoittuvalle palvelimelle.

Tekoäly ei siis avannut lukittuja ovia. Se kävi läpi valtavan määrän ovia ja löysi ne, jotka oli jätetty raolleen.

Mitä sisäänpääsy sitten tarkoittaa? Tässä kampanjassa tavoitteena oli jättää palvelimelle takaovi, jonka kautta hyökkääjä voi palata myöhemmin. Tutkijat tarkistivat yhden tapauksen, ja takaovi oli yhä paikallaan. Sellainen voi odottaa viikkoja, kunnes joku päättää käyttää sitä: varastaa asiakastietoja, istuttaa maksusivulle korttitietoja kaappaavan koodin tai levittää sivuston kautta huijauksia. Yrittäjä ei välttämättä huomaa mitään, sillä sivusto toimii ja tilauksia tulee normaalisti.

Pienelle yritykselle juuri tämä on vaarallisin skenaario. Ei dramaattinen lunnasvaatimus näytöllä, vaan hiljainen vuoto, josta kuulee ensimmäisen kerran asiakkaalta tai pankilta.

Mitä tästä pitäisi ajatella

Paniikkiin ei ole syytä, eikä yritystä tarvitse remontoida yhdessä yössä. Yksi oletus kannattaa kuitenkin heittää romukoppaan: ajatus siitä, että oma yritys on liian pieni kiinnostaakseen ketään.

Hyvä alku on kysyä itseltään, tiedänkö mitä kaikkea yritykseltäni näkyy internetiin. Verkkosivut ovat ilmeisin, mutta usein mukana on myös verkkokauppa, ajanvaraus, asiakasportaali, vanha kampanjasivu, jonka kukaan ei muista olevan vielä pystyssä, ja etäyhteys, joka avattiin aikoinaan ”väliaikaisesti”. Hyökkääjän agentti löytää ne kaikki. Olisi hyvä, jos sinäkin tietäisit niistä.

Sen jälkeen kannattaa selvittää, kuka niistä vastaa, eikä vaan yleisellä tasolla vaan nimeltä. Jos verkkosivut on tehnyt mainostoimisto, kuuluuko sopimukseen ohjelmistopäivitykset ja tietoturva vai pelkkä sivujen tekeminen?

Seuraavaksi kysymys on siitä huomaisiko kukaan, jos jotain tapahtuisi. Tämä tapaus osoittaa, että hyökkääjät eivät välttämättä halua aiheuttaa näkyvää vahinkoa heti. Takaovi voi olla paikallaan pitkään, ja ilman valvontaa sen löytää yleensä joku muu kuin yritys itse.

Lopuksi kannattaa miettiä, mitä tehdään, jos jotain löytyy. Kenelle soitetaan, miten toiminta jatkuu ja keille asiasta pitää kertoa? Tähän ei tarvita paksua kansiota. Riittää, että asia on mietitty etukäteen ja oikea puhelinnumero löytyy.

Mikään näistä ei vaadi yrittäjältä teknistä osaamista. Ne vaativat saman kuin kirjanpito tai vakuutukset: että joku pitää asioista huolta, ja että tiedät kuka.

Tekoäly ei muuttanut sääntöjä, vain hinnan

Tekoäly tuo yrityksille paljon hyvää, ja sama teknologia on nyt myös rikollisten käytössä. Siitä ei pääse mihinkään. Hyvä uutinen on, että puolustus perustuu yhä samoihin asioihin kuin ennenkin: ajan tasalla oleviin järjestelmiin, suojattuihin tunnuksiin, valvontaan ja valmiuteen toimia. Ero on siinä, että virhemarginaali kapenee. Unohtunut päivitys, joka ennen saattoi jäädä vuosiksi huomaamatta, voi nyt löytyä viikossa.

Kukaan ei voi luvata, ettei yritykseen koskaan murtauduta. Sen voi kuitenkin päättää, onko oma yritys se raolleen jäänyt ovi vai se, jonka kohdalla kone kirjaa epäonnistumisen ja siirtyy seuraavaan.

Haluatko tietää, missä kunnossa oman yrityksesi ovet ovat?

MR Data auttaa pieniä ja keskisuuria yrityksiä suojaamaan tietokoneensa, sähköpostinsa ja tärkeät tietonsa. Pidämme järjestelmät ajan tasalla, ehkäisemme ongelmia ja seuraamme, ettei mitään epäilyttävää tapahdu. Jos vahinko on jo käynyt, autamme palautumaan nopeasti.

Me huolehdimme yrityksesi tietotekniikan turvallisuudesta, jotta sinä voit keskittyä liiketoimintaasi.

Ota yhteyttä, niin tarkistetaan miten hyvin yrityksesi on suojattu.

Lähteet:

Scroll to Top