Нажмите на Enter чтобы посмотреть все результаты
Закрыть поиск
Частое заблуждение — если нет серверной и отдела разработки, то защищать нечего. Но у любой компании есть CRM, админка сайта, мессенджеры и ещё десяток сервисов. А ещё рабочие ноутбуки сотрудников. Это тоже инфраструктура, которой нужны меры безопасности.
Мы в Singleton Security ищем уязвимости, расследуем инциденты, помогаем компаниям найти уязвимости раньше, чем это сделают злоумышленники, и помогаем с выбором ИБ-решений. С опорой на опыт и кейсы расскажу о том, как малый бизнес может себя обезопасить уже сейчас без денег и сложных проектов.
Малый бизнес атакуют не из личного интереса.
Взломы происходят массово и автоматизированно, в том числе через ИИ. Алгоритм сканирует сайты и админпанели, электронные почты, удалённые доступы, облака и аккаунты в соцсетях. И если где-то слабый пароль, старая версия сайта или сотрудник перешёл по фишинговой ссылке — бизнес может стать жертвой просто потому, что оказался лёгкой целью.
Главный риск здесь даже не в краже данных, а в остановке работы. Любой процесс может сломаться в зависимости от того, какой сервис или аккаунт «увели».
Простой пример
Предприниматель пишет картины на заказ. Может показаться, что кибербезопасность тут мимо проходила. Но продаёт он свои работы через соцсети, сайт или маркетплейс.
Если человек использует один пароль для всего или поверил мошеннику, он может потерять аккаунты в этих сервисах. А вместе с ними — каналы продаж, маркетинга и общения с клиентами. Минус деньги, минус репутация.
Всем доступно всё. У менеджера — вся клиентская база, подрядчику дали полный доступ к сайту, бывший сотрудник может зайти в почту, CRM или рекламный кабинет. При инциденте такой подход увеличивает ущерб и масштаб атаки.
Пароли слабые, нет двухфакторной аутентификации. Плохо, когда один пароль для всех аккаунтов — если он утечёт в одном месте, злоумышленники попробуют его где-то ещё. Пароли хранятся в браузере, заметках, Telegram, Excel-файлах или просто пересылаются в чатах. При этом 2FA не включена даже в CRM и аккаунте банка.
Бэкапы есть, но формальные. Вроде они есть, но никто не знает, что туда копируется и с какой частотой, где они лежат, как восстановить из них данные и сколько времени это займёт.
Отдельная боль — бэкапы, связанные с основной инфраструктурой. В этой ситуации при атаке восстанавливать систему будет не из чего.
Нет работы с сотрудниками. Им не объясняют, что такое фишинг и как он выглядит, почему нельзя открывать подозрительные файлы, кому сообщить о переходе по вредоносной ссылке.
История: взлом на 10 млн рублей
Компания продаёт цифровые игровые товары. Обратилась к нам, когда заметила подозрительную активность в менеджере паролей и странные финансовые операции. Попросила нас выяснить, как злоумышленники получили доступ к компьютеру сотрудника.
Оказалось, что сотрудник регулярно проверял BIN-коды банковских карт на сайте. Там через поддельную капчу его убедили вручную запустить команду через Win+R. То есть человек думал, что проходит обычную проверку, а по факту сам запустил вредоносную команду на рабочем ноутбуке. Так злоумышленники получили доступ к устройству и учётным данным.
Нет плана действий на случай инцидента. Кто за что отвечает? Кого отключать в первую очередь? Кто связывается с банком? Кто занимается сайтом? Кто пишет клиентам? Кому звонить, если украли почту, Telegram-канал или доступ к CRM?
Если плана нет, в момент инцидента начинается хаос. А первые часы часто самые важные.
Техническая неаккуратность. Например, разработчик оставил пароли в коде сайта. Или сисадмин хранит все логины и пароли в текстовом файле у себя на компьютере или в облаке. Или у компании есть удалённый рабочий стол, админка, тестовый сервер, база данных или CRM, которые доступны из интернета и никем не контролируются.
Работа с подрядчиками без контроля. Например, дали доступ к сайту, CRM или рекламному кабинету, а потом забыли отключить. Или доступ выдали не на конкретную задачу, а сразу полный.
Для малого бизнеса это особенно актуально, потому что много процессов на аутсорсе: сайт, реклама, бухгалтерия, ИТ, телефония, интеграции.
Для начала — заранее подумайте, к кому обращаться при инциденте. Даже если у вас нет своего специалиста, держите при себе понятный контакт ИБ-подрядчика. В момент инцидента искать, «кого бы позвать» — плохой сценарий.
А для предотвращения кибератак дорогие и сложные решения часто не нужны. Малому бизнесу в первую очередь важно закрыть базу.
Двухфакторная аутентификация и уникальные пароли нужны для всех сервисов, которыми пользуется бизнес. При этом один «надёжный» пароль на все аккаунты ставить нельзя.
Начните с самых критичных активов:
Не храните учётные данные в TXT-файле на компьютере, в облачных документах или в сообщениях самому себе в мессенджерах. Это опасно: если злоумышленник получит доступ к устройству, хранилищу или аккаунту в Telegram, он сразу получит все пароли.
Не стоит использовать и браузерные менеджеры паролей, например в Chrome. Взломают аккаунт Google — получат доступ ко всем сервисам. А дополнительной защиты в виде мастер-пароля там нет. Например — офлайновые менеджеры по типу KeePass либо коммерческие решения.
Составьте список ключевых сервисов и проверьте, у кого есть к ним доступ. Затем отключите бывших сотрудников и подрядчиков, по возможности откажитесь от общих аккаунтов и настройте роли.
Это должен быть налаженный процесс:
Важно понимать, можно ли из ваших бэкапов вернуть утерянные данные. Для этого хотя бы периодически проверяйте, работает ли восстановление.
И желательно, чтобы хотя бы одна копия была недоступна напрямую из основной инфраструктуры. Иначе при атаке можно потерять и основные данные, и резервные копии.
Допустим, вы пользуетесь CRM-системой в старой версии
Атаки часто происходят не благодаря выдумкам злых хакеров, а потому что компании сами не закрыли известные слабые места. Именно поэтому своевременные обновления нужны для всех важных систем: сайта, CMS, плагинов и серверов, рабочих компьютеров, роутеров, антивирусов, CRM, 1С. Они защитят вас и от старых, и от новых уязвимостей, на предмет которых хакеры запускают веерные сканирования.
Проверьте, доступны ли через интернет ваши админки, удалённые рабочие столы (RDP), базы данных, тестовые серверы или панели управления. «Через интернет» означает, что любой пользователь может найти в Google админку вашего сайта и попробовать подобрать к ней логин и пароль.
Если без доступных с любого устройства RDP или других инструментов не обойтись, используйте 2FA и корпоративный VPN. Держать всё открытым — плохая идея.
Минимально: обновления, антивирус, блокировка экрана, отдельные учетные записи, отсутствие постоянной работы под администратором, шифрование диска на ноутбуках, где есть важные данные.
Это особенно важно для сотрудников, которые работают с деньгами, клиентской базой, CRM, почтой или доступами к важным сервисам. Их ноутбуки — часть инфраструктуры бизнеса.
Полноценный центр мониторинга строить необязательно.
Но полезно хотя бы получать уведомления для сервисов, почтовых аккаунтов и мессенджеров о входах с новых устройств или из необычных стран, о смене пароля и других изменениях.
Не делайте из кибербезопасности формальность. Если просто раз в год рассылать всему штату гайд на 30 страниц, его никто не прочитает и не запомнит. Лучше объяснять на конкретных сценариях с учётом специфики должности. Например:
Хорошей практикой будет короткая памятка с описанием:
Ещё для обучения часто проводится ежеквартальная «фишинговая» рассылка. Но даже так, на практическом примере можем сказать — процент «попавшихся» снижается значительно только к четвёртому или пятому разу. И прекращать такие проверки нельзя, нужно держать людей в тонусе и «боевой» готовности.
Отдельно договоритесь о простом правиле: если просьба связана с деньгами, доступами, паролями, клиентской базой или срочной оплатой — её нужно проверять по альтернативному каналу. Например, если «директор» в мессенджере просит срочно оплатить счёт, лучше позвонить ему или уточнить в рабочем чате. Если «банк» просит назвать код, не называть. «Клиент» прислал архив с документами — проверьте, действительно ли это он, зачем он это прислал, ждали ли вы этого события.
Культура страха вредит бизнесу
Сотрудники должны понимать, что если они попались на фишинг, лучше сразу сообщить об этом. Не бояться наказания, не пытаться скрыть, не ждать, что само образуется и последствий не будет. Чем раньше компания узнает о произошедшем, тем выше шанс снизить ущерб.
Поэтому наказывать или публично ругать за такие ошибки нельзя.
Вместо заключения оставим чек-лист — проверьте, что из этого у вас ещё не настроено.
