Hvorfor små virksomheder er et mål

Modul 1: Hvorfor du er et mål · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du forklare, hvordan angribere arbejder (automatiseret, pengedrevet, opportunistisk), og hvorfor "vi er for små" ikke holder.
Nøglebegreber: trussel, sårbarhed, risiko, opportunistisk angreb, målrettet angreb, cybercrime as a service, angrebsflade

"Hvad skulle de dog ville med os?"

Det spørgsmål hører man hos næsten alle små virksomheder. Et bageri, et bogholderikontor med tre ansatte, en fodboldklub: der er da større fisk at fange? Tanken bag er, at en angriber først vælger et mål og derefter finder ud af, hvordan han kommer ind. For en lille del af angrebene passer det. For langt størstedelen fungerer det præcis omvendt: angriberen leder først efter en svaghed, og det betyder ikke meget for ham, hvem svagheden tilhører.

For at forstå det ordentligt har du brug for tre begreber, der går igen i hele kurset.

• En trussel er noget, der kan forårsage skade: en svindler der sender falske fakturaer, et stykke ransomware, en kollega der ved et uheld deler den forkerte fil.
• En sårbarhed er en svaghed, som truslen kan udnytte: en adgangskode du også bruger i en webshop, et plugin der ikke har fået en opdatering i et år, en betalingsproces uden kontrol.
• En risiko er kombinationen: hvor stor er sandsynligheden for, at en trussel udnytter en sårbarhed, og hvor slemt er det så? Ofte skrives det som risiko = sandsynlighed x konsekvens.

En virksomhed uden sårbarheder findes ikke. Målet med sikkerhed er derfor ikke "nul risiko", men at gøre de største risici så små, at du kan leve med dem.

Opportunistisk eller målrettet

Der findes groft sagt to slags angreb.

Ved et målrettet angreb udvælger angriberen én organisation. Han finder ud af, hvem der arbejder der, hvem der betaler fakturaerne, hvilke leverandører der er, og tilpasser sit angreb derefter. Det koster tid, så det skal give et udbytte. Tænk på en svindler, der ved, at din virksomhed denne måned betaler for en stor maskine, og netop da sender et "ændret kontonummer" fra leverandøren.

Ved et opportunistisk angreb foregår det omvendt. Angriberen retter sig mod en svaghed, der findes hos tusindvis af organisationer samtidig, og tager det, han finder. Der er ikke noget personligt valg af netop din virksomhed. Du er bare en af adresserne på listen.

Små virksomheder rammes især af den anden slags. Det er ikke uheld, det er matematik: hvis et angreb ikke koster noget at gentage, betaler det sig at sende det ud til alle.

Hvordan automatisering gør angrebet billigt

En angriber sidder ikke og taster IP-adresser i hånden. Han bruger programmer, der dag og nat gennemsøger internettet. Sådan en scanner spørger adresse efter adresse: hvilken tjeneste kører her, hvilken version, er der en login-side åben? Inden for få timer er en stor del af internettet gennemgået.

Forestil dig, at der bliver kendt et hul i et meget brugt plugin til webshops. Dagen efter leder en scanner efter alle sider med det plugin. Den finder webshoppen hos et advokatkontor, der aldrig har kigget på sin side siden, siden for en forening og www.example.com for Bageriet Example. Scanneren ved ikke, hvad et bageri er, og det interesserer den heller ikke. Den ser kun: gammel version, altså ramt.

Det samme sker med login. Lister med millioner af lækkede kombinationer af e-mailadresse og adgangskode afprøves automatisk på mail, bogholderi og sociale medier (lektion 1.4). Og phishingmails sendes ud i store mængder; hvis bare en lille del af modtagerne klikker, er kampagnen allerede profitabel.

Dertil kommer, at du ikke længere selv behøver at være hacker for at angribe. Der er opstået et helt marked af cybercrime as a service: en udvikler ransomwaren og lejer den ud, en anden sælger stjålne loginoplysninger, en tredje sælger adgang til virksomhedsnetværk, der allerede ligger åbne. Microsoft beskriver i sin sikkerhedsblog, hvordan stjålne data samles, videresælges og til sidst udbydes som adgang til virksomheder. Tærsklen for at deltage er derfor lav, og antallet af angribere stort.

Hvor pengene ligger

Næsten alle angreb på små virksomheder handler om penge. Pengene kommer ind på et par forskellige måder:

1. Direkte betaling. Du eller en kollega overfører penge til den forkerte konto: en falsk faktura, en akut anmodning "fra direktøren" (lektion 1.2).
2. Løsesum. Dine filer bliver krypteret, og du skal betale for at få dem tilbage, eller for at forhindre at stjålne data bliver offentliggjort (lektion 1.3).
3. Videresalg. Loginoplysninger, kundedata eller adgang til dine systemer sælges til dem, der kan bruge det til noget (lektion 1.4).
4. Brug af dine systemer. Din mailboks sender spam, din hjemmeside spreder malware, din server udvinder kryptovaluta. Du betaler regningen i form af et dårligt omdømme eller en blokeret mailadresse.
5. Via dig til en anden. Du er leverandør til en større virksomhed. En angriber, der overtager din mailboks, kan på dine vegne sende falske fakturaer til dine kunder.

Små virksomheder er attraktive af to grunde. De har faktisk penge på kontoen og betaler fakturaer, men de har ofte ingen it-afdeling, ingen firmands-kontrol ved betalinger og ingen ordentligt vedligeholdt backup. Det øger chancen for succes.

Din angrebsflade

Alt, hvad en angriber kan forsøge udefra, kaldes din angrebsflade. For en lille virksomhed er den større, end du tror:

• din hjemmeside, med CMS'et, plugins og administrationssiden;
• din e-mail: mailboksene, men også dit domæne, som en svindler kan efterligne, hvis SPF, DKIM og DMARC ikke er sat korrekt op (modul 4);
• alle online konti: bank, bogholderi, webshop-platform, sociale medier, registratoren af dit domæne;
• enhederne: bærbare computere, telefoner, routeren, netværksdisken, printeren;
• menneskerne: alle der læser mail, betaler fakturaer eller tager telefonen;
• dine leverandører: webbureauet med en administratorkonto, it-firmaet med fjernadgang (modul 7).

Hver komponent, du ikke længere bruger, men som stadig er online, er ekstra overflade uden nytte. En gammel testside på test.example.com, en glemt FTP-konto fra et tidligere webbureau, en konto hos en tjeneste du opsagde for tre år siden: der er ikke længere nogen, der holder øje med dem, og det er dér, sårbarhederne sidder.

Faldgruber i tankegangen

"Vi har ikke noget værdifuldt."

Du har i hvert fald en bankkonto, en mailboks som kunder stoler på, og kundedata. Det er nok.

"Vi har antivirus, så vi er sikre."

Antivirus hjælper mod en del af den skadelige software. Det gør ingenting mod en kollega, der betaler en ægte udseende faktura med et andet kontonummer, eller mod en adgangskode der er lækket på en anden side.

"Vores it-firma klarer det."

Måske. Men ved du, hvad de klarer? Et it-firma sørger ofte for opdateringer og en virusscanner, men ikke for din betalingsprocedure, din adgangskodepolitik eller webbureauets adgang. Hvem der gør hvad, skal I aftale (modul 7).

"Det sker ikke for os, det er aldrig sket."

Ofte ved du det bare ikke. En overtaget mailboks kan blive læst med i månedsvis, uden at nogen bemærker det, før den bliver misbrugt.

I praksis: sådan ser det ud

Et eksempel, sammensat af situationer der ofte forekommer. Et lille revisionskontor (fire ansatte) havde en hjemmeside på et CMS, som det tidligere webbureau havde bygget. Ingen loggede længere ind, så ingen så beskederne om opdateringer. En mandag morgen lå der en besked fra hostingudbyderen i mailboksen: fra siden blev der spredt phishingsider. Logfilerne viste, at en scanner havde fundet et kendt hul i et gammelt formular-plugin, samme dag som hundredvis af andre sider. Kontoret var aldrig blevet "udvalgt". Oprydningen tog en uge, og domænenavnet stod i en periode på en blokeringsliste, så kontorets mail endte i spam hos kunderne.

Hullet kunne være forhindret med én enkelt opdatering. Det handler resten af dette kursus om: ikke om perfekt sikkerhed, men om den grundsikring, der stopper de billige, massive angreb.

Opsummering

• En risiko er kombinationen af en trussel og en sårbarhed: sandsynlighed x konsekvens.
• De fleste angreb på små virksomheder er opportunistiske: først svagheden, derefter offeret.
• Automatisering og cybercrime as a service gør angreb billige, så det betaler sig at sende dem ud til alle.
• Næsten alt handler om penge: falske betalinger, løsesum, videresalg af data eller misbrug af dine systemer.
• Din angrebsflade består af hjemmeside, mail og domæne, konti, enheder, mennesker og leverandører; glemte dele er de farligste.

Quiz

Opgave

Opgave A1.1: Trussel, sårbarhed og risiko. Du får fire korte situationer fra små virksomheder. Angiv for hver situation, hvad truslen er, og hvad sårbarheden er, og vurder sandsynlighed og konsekvens (lav, middel, høj). Sæt derefter de fire i rækkefølge fra størst til mindst risiko. Programmet tjekker dine svar og forklarer for hver situation hvorfor.

Opgave D1.1: Kortlæg din angrebsflade. Lav en liste over alt, hvad din virksomhed har stående online: hjemmesider og subdomæner, konti, enheder med forbindelse til omverdenen, og hvem der har adgang udefra. Noter ved hver del, om du stadig bruger den, og hvem der er ejeren.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOké's miljø; hos andre udbydere fungerer det på lignende vis.

• Hjælp! Mit websted er blevet hacket. Hvordan løser eller forebygger jeg det?
• SAMSIK, Sikker Digital, råd til virksomheder: https://sikkerdigital.dk/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (engelsk): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/