Varför små företag är ett mål

Modul 1: Varför du är ett mål · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du förklara hur angripare arbetar (automatiserat, pengadrivet, opportunistiskt) och varför "vi är för små" inte stämmer.
Nyckelbegrepp: hot, sårbarhet, risk, opportunistisk attack, riktad attack, cybercrime som tjänst, attackyta

"Vad skulle de vilja hos oss?"

Den frågan hör man hos nästan alla små företag. Ett bageri, en redovisningsbyrå med tre anställda, en idrottsförening: det finns väl större fiskar? Tanken bakom är att en angripare först väljer ett mål och sedan letar efter ett sätt att ta sig in. För en liten del av attackerna stämmer det. För den stora majoriteten fungerar det precis tvärtom: angriparen letar först efter en svag punkt, och det spelar honom föga roll vem den tillhör.

För att förstå det ordentligt behöver du tre begrepp som återkommer genom hela kursen.

• Ett hot är något som kan orsaka skada: en bedragare som skickar falska fakturor, en skadlig kod av typen ransomware, en kollega som av misstag delar fel fil.
• En sårbarhet är en svag punkt som gör att hotet kan slå till: ett lösenord du även använder i en webbutik, ett tillägg som inte fått någon uppdatering på ett år, en betalningsprocess utan kontroll.
• En risk är kombinationen: hur stor är sannolikheten att ett hot slår till via en sårbarhet, och hur illa blir det då? Ofta skriver man det som risk = sannolikhet x konsekvens.

Ett företag utan sårbarheter finns inte. Målet med säkerhetsarbete är därför inte "noll risk", utan att göra de största riskerna så små att du kan leva med dem.

Opportunistisk eller riktad

Det finns grovt sett två typer av attacker.

Vid en riktad attack väljer angriparen ut en enda organisation. Han tar reda på vilka som arbetar där, vem som betalar fakturorna, vilka leverantörer som finns, och anpassar sin attack därefter. Det kostar tid, så det måste ge något tillbaka. Tänk på en bedragare som vet att ditt företag denna månad ska betala för en stor maskin, och precis då skickar ett "ändrat kontonummer" från leverantören.

Vid en opportunistisk attack är det tvärtom. Angriparen riktar in sig på en svag punkt som finns hos tusentals organisationer samtidigt, och tar det han hittar. Det finns inget personligt val av just ditt företag. Du är bara en av adresserna på listan.

Små företag drabbas främst av den andra typen. Det är ingen otur, det är matematik: om en attack inte kostar något att upprepa, lönar det sig att släppa lös den på alla.

Hur automatisering gör attacken billig

En angripare sitter inte och skriver in IP-adresser för hand. Han använder program som dag och natt söker av internet. En sådan skanner frågar adress efter adress: vilken tjänst körs här, vilken version, finns det en öppen inloggningssida? Inom några timmar har en stor del av internet gåtts igenom.

Säg att en sårbarhet blir känd i ett vanligt förekommande tillägg för webbutiker. Nästa dag letar en skanner efter alla webbplatser med det tillägget. Den hittar webbutiken hos en advokatbyrå som aldrig mer sett till sin sajt, föreningens webbplats, och www.example.com för Bageri Example. Skannern vet inte vad ett bageri är och det bryr den sig inte heller om. Den ser bara: gammal version, alltså napp.

Samma sak sker med inloggning. Listor med miljontals läckta kombinationer av e-postadress och lösenord testas automatiskt mot e-post, bokföring och sociala medier (lektion 1.4). Och nätfiskemejl skickas ut i stora mängder; om en liten del av mottagarna klickar är kampanjen redan lönsam.

Dessutom behöver du själv inte vara hackare längre för att utföra en attack. Det har vuxit fram en hel marknad för cybercrime som tjänst: en utvecklar ransomware och hyr ut den, en annan säljer stulna inloggningsuppgifter, en tredje säljer åtkomst till företagsnätverk som redan ligger öppna. Microsoft beskriver i sin säkerhetsblogg hur stulna uppgifter buntas ihop, säljs vidare och till slut erbjuds som åtkomst till företag. Tröskeln för att delta blir därmed låg, och antalet angripare stort.

Var pengarna finns

Nästan alla attacker mot små företag handlar om pengar. De pengarna kommer in på några olika sätt:

1. Direkt betalning. Du eller din kollega betalar in pengar till fel konto: en falsk faktura, en brådskande begäran "från vd:n" (lektion 1.2).
2. Lösensumma. Dina filer krypteras och du måste betala för att få tillbaka dem, eller för att förhindra att stulna uppgifter läcker ut (lektion 1.3).
3. Vidareförsäljning. Inloggningsuppgifter, kunduppgifter eller åtkomst till dina system säljs till den som vill utnyttja det (lektion 1.4).
4. Dina system utnyttjas. Din mejlbox skickar skräppost, din webbplats sprider skadlig kod, din server brytkör kryptovaluta. Du betalar notan i form av dåligt rykte eller en spärrad e-postadress.
5. Via dig till någon annan. Du är leverantör till ett större företag. En angripare som tar över din mejlbox kan skicka falska fakturor till dina kunder i ditt namn.

Små företag är attraktiva av två skäl. De har faktiskt pengar på kontot och betalar fakturor, men de saknar ofta en it-avdelning, en fyraögonprincip vid betalningar och en välskött säkerhetskopia. Det ökar chansen att attacken lyckas.

Din attackyta

Allt som en angripare kan försöka utifrån kallas din attackyta. För ett litet företag är den större än man tror:

• din webbplats, med CMS:et, tillägg och administrationssidan;
• din e-post: mejlboxarna, men också ditt domän, som en bedragare kan imitera om SPF, DKIM och DMARC inte är korrekt inställda (modul 4);
• alla onlinekonton: bank, bokföring, e-handelsplattform, sociala medier, registraren för ditt domän;
• enheterna: bärbara datorer, telefoner, routern, nätverksdisken, skrivaren;
• människorna: alla som läser mejl, betalar fakturor eller svarar i telefon;
• dina leverantörer: webbyrån med ett administratörskonto, it-företaget med fjärråtkomst (modul 7).

Varje del som du inte längre använder men som ändå ligger kvar online är extra yta utan nytta. En gammal testsajt på test.example.com, ett glömt FTP-konto från en tidigare webbyrå, ett konto hos en tjänst du sa upp för tre år sedan: ingen håller längre koll på dem, och därför är det just där sårbarheterna finns.

Fallgropar i tankesättet

"Vi har inget av värde."

Du har åtminstone ett bankkonto, en mejlbox som kunder litar på och kunduppgifter. Det räcker.

"Vi har antivirus, så vi är säkra."

Antivirus hjälper mot en del skadlig programvara. Det gör ingenting mot en kollega som betalar en äkta utseende faktura med fel kontonummer, eller mot ett lösenord som läckt från en annan webbplats.

"Vårt it-företag sköter det."

Kanske. Men vet du vad de faktiskt sköter? Ett it-företag ser ofta till uppdateringar och ett virusskydd, men inte till din betalningsrutin, din lösenordspolicy eller webbyråns åtkomst. Vem som gör vad måste ni komma överens om (modul 7).

"Det händer inte oss, det har aldrig hänt."

Ofta vet man bara inte om det. En kapad mejlbox kan läsas av i det tysta i månader innan någon utnyttjar det.

I praktiken: så här kan det se ut

Ett exempel, sammansatt av situationer som ofta förekommer. En liten redovisningsbyrå (fyra anställda) hade en webbplats på ett CMS som den förra webbyrån hade byggt. Ingen loggade längre in, så ingen såg meddelandena om uppdateringar. En måndagsmorgon låg det ett meddelande från webbhotellet i mejlboxen: från webbplatsen spreds nätfiskesidor. Loggarna visade att en skanner hade hittat en känd sårbarhet i ett gammalt formulärtillägg, samma dag som hundratals andra webbplatser. Byrån hade aldrig "valts ut". Återställningen tog en vecka, och domännamnet hamnade en period på en blockeringslista, vilket gjorde att byråns mejl till kunder landade i skräpposten.

Sårbarheten hade kunnat förhindras med en enda uppdatering. Det är vad resten av den här kursen handlar om: inte om perfekt säkerhet, utan om den grund som stoppar de billiga, massiva attackerna.

Sammanfattning

• En risk är kombinationen av ett hot och en sårbarhet: sannolikhet x konsekvens.
• De flesta attacker mot små företag är opportunistiska: först den svaga punkten, sedan offret.
• Automatisering och cybercrime som tjänst gör attacker billiga, så det lönar sig att släppa lös dem på alla.
• Nästan allt handlar om pengar: falska betalningar, lösensumma, vidareförsäljning av uppgifter eller missbruk av dina system.
• Din attackyta består av webbplats, e-post och domän, konton, enheter, människor och leverantörer; glömda delar är farligast.

Quiz

Uppgift

Uppgift A1.1: Hot, sårbarhet och risk. Du får fyra korta situationer från små företag. Ange för varje situation vad hotet är och vad sårbarheten är, och bedöm sannolikhet och konsekvens (låg, medel, hög). Sätt sedan de fyra i ordning från störst till minst risk. Programmet rättar dina svar och förklarar varför för varje situation.

Uppgift D1.1: Kartlägg din attackyta. Gör en lista över allt ditt företag har liggande online: webbplatser och subdomäner, konton, enheter med anslutning utåt, och vilka som har åtkomst utifrån. Ange för varje del om du fortfarande använder den och vem som är ägare.

Läs mer

Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
• NCSC, råd för egenföretagare och mindre företag: https://www.ncsc.se/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (engelska): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/