Ataki na małe firmy rzadko wyglądają jak w filmach. Zwykle zaczynają się od wiadomości z fakturą do zapłaty albo od prośby o zalogowanie się do panelu kuriera. Ktoś klika, wpisuje dane i po godzinie skrzynka wysyła prośby o przelew do wszystkich klientów z książki adresowej.
Zabezpieczenia opisane niżej da się wdrożyć w jeden wieczór. Kolejność ma znaczenie, bo pierwsze dwa punkty odcinają większość typowych problemów.
Menedżer haseł zamiast kartki
Przeciętna firma jednoosobowa ma od trzydziestu do stu kont w różnych serwisach. Nikt nie zapamięta stu różnych haseł, więc powstają warianty jednego. Wyciek z dowolnego sklepu internetowego otwiera wtedy skrzynkę i bankowość.
Zainstaluj menedżer haseł na komputerze i telefonie. Ustaw jedno długie hasło główne złożone z czterech przypadkowych wyrazów. Następnie zmieniaj hasła etapami, zaczynając od poczty, banku, hostingu i domeny. Reszta może poczekać na moment, w którym i tak się logujesz.
Drugi składnik logowania
Włącz weryfikację dwuetapową wszędzie, gdzie jest dostępna. Najlepiej sprawdza się aplikacja generująca kody albo klucz sprzętowy na USB. Kody SMS są lepsze niż nic, ale bywają przechwytywane przy przejęciu numeru.
Zapisz kody zapasowe i schowaj je poza komputerem, na przykład w segregatorze z dokumentami firmy. Utrata telefonu bez kodów zapasowych oznacza kilkudniową walkę o odzyskanie dostępu do poczty.
Rozpoznawanie prób wyłudzenia
Wiadomości podszywające się pod znane firmy mają powtarzalne cechy. Zanim klikniesz, sprawdź kilka rzeczy:
- Pełny adres nadawcy, nie samą nazwę wyświetlaną. Podobna domena z dodatkową literą to typowy chwyt.
- Presja czasu. Groźba blokady konta w ciągu 24 godzin ma wyłączyć myślenie.
- Adres odnośnika. Najedź kursorem i przeczytaj, dokąd prowadzi, zanim klikniesz.
- Zmiana numeru konta w korespondencji ze stałym kontrahentem. Zawsze potwierdzaj telefonicznie, dzwoniąc na numer, który już masz.
- Załączniki w formatach wykonywalnych albo archiwa z hasłem podanym w treści wiadomości.
Ustal zasadę dla siebie i pracowników: przelew powyżej ustalonej kwoty wymaga telefonicznego potwierdzenia numeru konta. Ta jedna reguła zatrzymuje najkosztowniejszy typ oszustwa.
Sprzęt
Włącz szyfrowanie dysku na laptopie. W systemach firmowych to jedno przestawienie w ustawieniach. Skradziony laptop bez szyfrowania oddaje złodziejowi dostęp do wszystkich plików niezależnie od hasła do systemu.
Ustaw automatyczną blokadę ekranu po kilku minutach bezczynności. Aktualizuj system i przeglądarkę, gdy pojawi się powiadomienie, zamiast przekładać restart o kolejny tydzień. Na telefonie służbowym ustaw kod dłuższy niż cztery cyfry i włącz zdalne czyszczenie danych.
Dane klientów
Jeśli przechowujesz nazwiska, adresy i telefony klientów, odpowiadasz za nie także wtedy, gdy firma jest jednoosobowa. Zrób prostą listę: jakie dane zbierasz, gdzie leżą, kto ma do nich dostęp i jak długo je trzymasz. Taka lista mieści się na jednej stronie i porządkuje resztę decyzji.
Ogranicz dostęp do tego, co niezbędne. Pracownik sezonowy nie potrzebuje wglądu w całą bazę. Po zakończeniu współpracy odbierz dostępy tego samego dnia, łącznie ze skrzynką, dyskiem w chmurze i grupą na komunikatorze.
Plan na sytuację, w której już się stało
- Odłącz zaatakowany komputer od sieci, żeby zatrzymać rozprzestrzenianie.
- Zmień hasło do poczty z innego, czystego urządzenia. Wyloguj wszystkie sesje.
- Sprawdź reguły przekierowania wiadomości i podpisy. Napastnicy zostawiają tam ślady.
- Powiadom bank, jeśli w grę wchodziły przelewy, i zgłoś sprawę na policję.
- Uprzedź klientów, do których mogły trafić fałszywe wiadomości z Twojego adresu.
- Odtwórz dane z kopii i dopiero potem wracaj do normalnej pracy.
Spisz te kroki i trzymaj wydruk w biurku. W dniu awarii nikt nie szuka procedury w internecie, bo dostęp do poczty bywa wtedy zablokowany.
Rachunek za spokój
Cały opisany zestaw kosztuje niewiele. Menedżer haseł dla małej firmy to wydatek rzędu kilkudziesięciu do dwustu złotych rocznie. Klucz sprzętowy kupuje się raz, w cenie zbliżonej do dobrej klawiatury. Szyfrowanie dysku i blokada ekranu nie kosztują nic poza kwadransem ustawień.
Porównaj to z kosztem jednego udanego ataku. Przelew na fałszywe konto, kilka dni przestoju i telefony do klientów z wyjaśnieniami składają się na kwotę, której mała firma nie planowała w budżecie. Przejdź przez listę raz, a potem wracaj do niej raz na pół roku przy okazji przeglądu dostępów.
