Kuidas muuta oma ettevõte küberründajate jaoks ebaatraktiivseks

Märtsis toimus Eesti E-kaubanduse Liidu ja SEB koostöös järjekorras neljas E-Kaubanduse foorum, kus räägiti valdkonna trendidest ning samuti ka nüanssidest, millele tuleb järjest enam tähelepanu pöörata. Üheks selliseks valdkonnaks on kindlasti küberturvalisus, millest tegi ettekande Peeter Marvet.

Pärast Venemaa sissetungi Ukrainasse on häkkimisaktiivsus järsult kasvanud. Eesti küberturvalisuse eksperdi Peeter Marveti sõnul on ettevõtetel praegu viimane aeg oma veebilehtede ja e-poodide turvalüngad sulgeda. Kuidas küberkurjategijad valivad, keda rünnata ja kuidas muuta teie ettevõte võimalikult ebaatraktiivseks, enne kui on liiga hilja?

Küberkurjategijad lähevad sinna, kus on väiksem vastupanu

Ekspert Marvet kutsub üles arvestama, et Ukrainat toetavates või NATO-sse kuuluvates riikides tegutsevad ettevõtted on praegu eriliselt suures küberrünnakute ohus.

Mida saab ettevõte nüüd enda kaitsmiseks ette võtta? Marvet juhib tähelepanu sellele, et suur osa vajalikust on lihtsalt teostatav ja see, millest turvaeksperdid on aastaid rääkinud, ehk siis tugevad paroolid, hästi kaitstud kontod ja ajakohased süsteemid.

Ta toob välja ka peamised kriteeriumid, mille põhjal kurjategijad oma sihtmärke valivad. "Eelkõige kaalub häkker, kui palju tööd ta ründele kulutama peab. Kui teie ettevõte on halvasti kaitstud, on suur tõenäosus, et see langeb küberrünnaku ohvriks," ütles Marvet.

Häkkerid riskivad oma aja ja rahaga. Seega, kui ligipääs süsteemile või süsteemis pikka aega töötamine on raskendatud, eelistavad nad lihtsamat sihtmärki. Kõige olulisem kriteerium on muidugi see, kui palju häkker teie saidilt kasu saab. Mida suurem on juurdepääs erinevatele andmetele, seda atraktiivsem see tema jaoks on.

E-kaubanduse saidid on eriti ihaldusväärne sihtmärk

Tuleb märkida, et küberkurjategijad on täiskohaga töötajad, kes töötavad vähemalt kaheksa tundi päevas, on suurte kogemustega ja nende käsutuses on lai valik tööriistu. Teisisõnu on tegemist professionaalidega, kelle eesmärk on meie arvelt teenida ja keda ei tasu alahinnata.

Näiteks võib küberkurjategija saata rämpsposti mis tahes ettevõttele, kasutades saadud infot või ligipääse ründamaks teisi veebisaite või genereerimaks krüptovaluutasid. Just e-kaubanduse veebisaidid avavad häkkeritele palju võimalusi, kuna need on täis erinevaid väärtuslikke andmeid.

Marveti sõnul on e-kaubanduse veebilehtedel häkkerite üks peamisi eesmärke saada krediitkaardiandmeid ja võib-olla ka klientide isikuandmeid. Levinud on ka petturlikud tehingud nn. ettemaksekaartidega. See on vähem levinud, kuid on ka väljapressimise juhtumeid, kus häkkerid nõuavad tasu, vastutasuks lubaduse eest, mitte avaldada tundlikku teavet.

SEB kaupmeeste makselahenduste grupijuht Karl Oskar Haak: „SEB-s kasutame interneti kaardimaksete puhul erinevaid pettuse ennetamise tööriistu. Igale SEB kaupmehele seame kindlad pettuse reeglid, millega näiteks piirame ühelt ja samalt IP aadressilt ning ühe ja sama deebet- või krediitkaardiga tehtud tehingute arvu 24h jooksul. Seda siis ennekõike selleks, et kaitsta kaupmehi näiteks selle eest, et varastatud kaardiandmetega ei tehtaks nende e-poes suuri ja palju tehinguid, mis võib hiljem kaasa tuua palju klientide tagasinõudeid.“ 

Turvalisus sõltub suuresti vastaspoolte valikust

Kõige olulisem on mitte sattuda 10-30% kõige haavatavamate ettevõtete hulka, sest just nemad on küberrünnakute ohule kõige rohkem avatud. Näiteks koodi muutvaid veebisaite, nagu populaarne Wordpress, on lihtsam lahti murda.

E-kaupmeeste jaoks on väga oluline kasutada turvalisi, ülemaailmselt tunnustatud ja hea pettusekaitsega maksesüsteeme ning tagada makseinfo sisestamine kodulehel ilma eriandmeteta. Turvalise maksesüsteemi eeliseks on ka ettevõtte võimalus seda oma turundustegevuses esile tõsta.

Soovitused ettevõtte küberturvalisuse parandamiseks

• Süsteemide kahefaktoriline või mitmeastmeline autentimine
• Isikukohane ja unikaalne st. ainult ühes kohas kasutatav parool
• Kõigi veebirakenduse komponentide pidev uuendamine ja valmisolek turvanõrkuse avalikustamisel uuenduseks alla 24h
• Korrapärane süsteemide auditeerimine ja läbistustestimine
• Info õigsuse kontrollimine selle saamisel
• Kahtlaste linkide ja e-mailide mitte avamine
• Kolmandate osapooltega konfidentsiaalse info mitte jagamine
• Enda asetamine küberkurjategija kingadesse ja läbi selle erinevate ohukohtade nägemine ning parandamine
• Töötajate koolitamine küberturvalisuse valdkonnas

Mida teha küberrünnaku korral?

• Teavita koheselt ettevõtte turva- või IT-eksperte
• Teata sellest politseile, helistades numbril 112
• Ärge võtke petturiga meelevaldselt ühendust SMS-i, kirja või telefoni teel

‍

‍

‍