Nyugat-Európában előfordult, hogy egy kórház diagnosztikai rendszerét bénították meg a kibertér kalózai, s emiatt egy beteg meg is halt. A bűnözők sok esetben váltságdíjat követelnek az elérhetetlenné tett adatok visszaadásáért vagy a megbénított rendszerek újraindításáért
– számolt be egy döbbenetes, manapság nagyon is életszerű csalási technikáról Varga Gábor, az IVSZ Digitális Vállalkozások Szövetsége kiberbiztonsági munkacsoportjának társvezetője.
A nagyobb szervezetek és vállalatok próbálnak lépést tartani a ma már a mesterséges intelligenciát is bedobó bűnözőkkel, a kisebbek azonban kiszolgáltatottak.
Habár minden harmadik vállalkozást ér kibertámadás, amit a nagyok jeleznek is, a kicsiknek csak a tizede, az 1–9 fős mikrocégeknek pedig csak a két százaléka észleli egyáltalán, hogy behatoltak a rendszerébe
– derült ki Vinnai Balázs, az IVSZ elnöke által egy minapi rendezvényen prezentált adatokból.
Miután a kis cégek nem tudnak róla, komolyan sem veszik a veszélyt: csupán minden ötödik érzi súlyos fenyegetésnek a digitális incidenseket, miközben a legnagyobbaknak a 40 százaléka fél tőlük, ami azért még mindig meglehetősen gyenge érzékenységre vall.
Macska-egér játék ez, százszázalékos védelem nincs. Mint Csányi Péter, az OTP Bank vezérigazgatója leszögezte: "a támadók világszerte egy lépéssel előrébb járnak".
Ha azonban egy vállalat és a gárdája megteszi a védelméért, ami a saját szintjén elvárható, akkor ezzel a támadások 98 százalékát kivédheti, azaz 100-ból kettő lehet sikeres – hangsúlyozta Varga.
Senki sincs radar alatt
– folytatta a szakember, aki szerint nem igaz, hogy ha egy cég egészen kicsiny, akkor nem érdekli a csalókat, mert ugyan mit lehetne ellopni tőle? A köztudatban a bankszámlák trükkös megkopasztásával azonosítják a kibercsalókat, holott nem feltétlenül ez a céljuk, s a tevékenységük pont ezért maradhat sokak számára rejtve. A bankszámlák paramétereihez hasonlóan értékesek a megszerezhető érzékeny, személyes adatok, s ebben bármilyen méretű szervezet célpont lehet.
Milliós adatbázisokhoz férhetnek hozzá a bűnbandák: jelszavakkal, névvel, lakcímmel, személyi vagy társadalombiztosítási számmal, és ezeket adják el a dark weben. Ha csak minden ezredikkel végre lehet hajtani valamilyen visszaélést, a vevőnek már bőven megérte. Ezekkel az adatokkal szerencsés esetben a csalók kiadhatják magukat annak, akinek az adataihoz hozzájutottak.
Paradox módon sokáig épp a fejlettebb országokban volt jellemző, hogy néhány egyszerű személyes azonosítóval, például névvel és igazolványszámmal lehetett pénzügyeket intézni, ma már erre alig van lehetőség
– magyarázta Varga. A személyes adattömegek begyűjtéséhez vagy az automatizált rendszerek zsarolási célzatú megbénításához képest érdektelenek viszont a kibertolvajok számára a vállalatok gazdálkodási adatai, mert azokra nehezebb piacot találni. Egy adott cég piaci pozíciójára hajtó ipari kémkedés régi műfaj, nem a digitális világ hozta.
Hacker munkában.
AFP / ABO / Science Photo Library
Statisztikai adatokat csak a pénzlopásról tudunk, s a vállalati szféra esetében arról sem sokat. Az MNB jelentései szerint negyedévente jellemzően legfeljebb kétmilliárd forintot lopnak el a cégektől átutalásos csalással, ami a lakosság által hasonlóképpen elszenvedett károknak többnyire még a harmada sincs. Közös sors azonban, hogy a károk több mint 90 százaléka eddig az azonosítóikat a csalóknak gondatlanul kiadó ügyfeleket sújtotta. S közös az is, hogy a csalók nem is annyira a technikai rendszereket, hanem a felhasználók pszichéjét célozzák meg. A Sophos szakértő cég szerint sürgető üzenetekkel, fenyegető hangnemmel, az AI által generált tökéletes szöveg- vagy hangüzenettel manipulálják az áldozataikat.
Az ezzel együtt elengedhetetlen megfelelő kibervédelem nem ördöngösség és nem is megfizethetetlen. Egy nagyvállalat biztonsági rendszereinek kialakításánál a költséghatár persze a csillagos ég, de egy kisebb cég évi pár tízezer forintból vagy havi néhány dollárból megoldhatja munkatársai biztonságos környezetét, beleértve a szükséges szoftvereket. Önmagában a felhőszolgáltatás megvásárlása automatikusan együtt jár a legfontosabb biztonsági megoldásokkal. Az pedig semmibe se kerül – mondják el újra és újra a szakemberek –, hogy a magánéletben és a céges internetezésben egyaránt tegyünk meg olyan alapvető dolgokat, mint a különféle szituációkban különféle, egymástól erőteljesen eltérő jelszavak használata, sőt ahol csak lehetséges, kétfaktoros (két, különböző eszközön működő) azonosítók bevetése.
Ha több helyen alkalmazott, a felhasználóra jellemző, egyszerű jelszót csak egyetlen helyen feltörnek, mindenütt garázdálkodhatnak vele. Tény, az ezerféle azonosító megkeseríti a felhasználók életét, de a kényelem és biztonság dilemmája sokszor nem oldható fel – jegyzi meg Varga. (Mentesítés lehet a kétfaktoros azonosításnál a mobiltelefonon használható ujjlenyomat vagy arcfelismerés.)
Mindezek ellenére a magyar vállalatok még nagyon az elején tartanak az ilyen típusú felkészülésnek, olykor a legkézenfekvőbb biztonsági megoldásokra sem áldoznak. A Vinnai Balázs által bemutatott ábrákon négy alapvető biztonsági eszköz meglétét vizsgálták a szakemberek: a tűzfalat, a számítógépek és a mobileszközök vírusvédelmét, továbbá a böngészők kontrollját. Az utóbbi azt jelenti, fut-e az eszközökön olyan szűrőprogram, ami jó eséllyel kiszűri mondjuk a pénzintézeti honlapokhoz kísértetiesen hasonló áloldalakat. Ezekre csalogatják be az ügyfeleket, hogy megszerezzék a belépési kódjaikat, majd – immár a valódi internetbankban – megkopasszák őket.
Tűzfala gyakorlatilag minden cégnek van, még a mikrovállalkozások háromnegyedének is, és a számítógépek vírusvédelmében is majdnem ilyen jól állunk. A mobileszközök vírusvédelme ugyanakkor eléggé gyatra: a legnagyobbaknak nem egészen a kétharmada, a legkisebbeknek pedig a harmada él csak vele. Ehhez képest jobban vigyáznak a számítógépeken futó böngészőkre: tízből kilencen telepítettek szűrőrendszert, kivéve a mikrocégeket, amelyeknek csak a bő harmada tette ezt meg.
Felhívás a digitális atrocitások veszélyére. Tehetsz ellene
AFP / MATHIEU THOMASSET
Sokkal rosszabb a vállalatok felkészültsége, ha a fejlettebb biztonsági megoldásokat vesszük, mint például a sérülékenységelemzés, a kockázatok felmérése vagy a biztonsági audit. Ilyesmit még a nagyvállalatoknak is csak a kétharmada alkalmaz, a közepes és kisvállalatoknak a szűk harmada, a legkisebbeknél pedig szinte senki, százból hárman. Informatikai biztonsági szabályzata a nagyok 90 százalékának van, a kkv-szektorban jó, ha minden másodiknak, a mikrocégeknél viszont csak hét százaléknak – ők láthatóan felesleges adminisztratív macerának tartják ezt.
Egyelőre meg is ússzák, ellentétben a nagyobbakkal, amelyeket egy idéntől hatályos – az uniós harmonizáció jegyében alkotott – törvény kötelez erre. Az előírás első körben és alapvetően az 50 fősnél nagyobb vállalatokra vonatkozik. Az érintett cégeknek a profiljuktól függően be kell jelentkezniük valamelyik hatóság felügyelete alá, ami lehet a Nemzeti Kiberbiztonsági Intézet, a Szabályozott Tevékenységek Felügyeleti Hatósága, a Magyar Nemzeti Bank vagy a Honvédelmi Minisztérium. A nyár végéig pedig auditort kellett felfogadniuk, aki kétévente – először 2026. júniusra – ellenőrzi a digitális biztonságosságukat, illetve az erről összeállított beszámolót, beleértve a szabályzatot is. Hasonló kötelezettség lesz ez, mint az éves mérlegbeszámoló vagy az egyre szélesebb vállalkozói körre kiterjedő éves ESG-jelentés. Az esetleges mulasztás szankcionálása súlyos: félmillió forinttól több tízmillióig is terjedhet a bírság, bizonyos esetekben pedig az éves árbevétel két százaléka, azaz fix plafonja nincs.
https://hvg.hu/gazdasag/20251113_Evente-akar-tizmilliardos-kart-is-okozhat-az-online-terbol-jovo-lopasok-Magyarorszagon
