Cyber sigurnost za obrt: kako se zaštititi od phishinga i krađe podataka

Cyber sigurnost za obrt počinje od tri stvari: prepoznati phishing prije klika, zaštititi račune dvostrukom autentifikacijom i imati web koji netko redovito ažurira i sigurnosno kopira. Nijedna od njih ne traži IT odjel. Traže naviku i jasno dogovoreno tko je za što odgovoran.

Kad se misli na napade, zamišljaju se banke i velike korporacije. Mali obrti su ipak česta meta, jer napadači znaju da frizerski salon, keramičar ili knjigovodstveni servis rijetko ima nekoga tko se bavi zaštitom. U ovom vodiču idemo redom: phishing, web stranica, lozinke, podaci klijenata i što napraviti kad nešto pođe krivo.

Phishing: kako izgleda u Hrvatskoj

Phishing je napad u kojem ti netko šalje lažnu poruku da bi otkrio lozinku, podatke s kartice ili OIB. Poruke su danas napisane na tečnom hrvatskom i koriste logotipe institucija kojima vjeruješ.

• Lažna dostava paketa: SMS ili e-mail „od pošte" ili dostavne službe kaže da paket čeka i da treba platiti sitan iznos za dostavu. Poveznica vodi na stranicu koja izgleda kao prava, a služi za krađu podataka s kartice.
• Porezna uprava i povrat poreza: poruka o „pravu na povrat" s gumbom za prijavu. Porezna uprava ne traži podatke o kartici e-mailom.
• Upozorenje banke: „Vaš račun je privremeno blokiran, kliknite za deblokadu". Cilj je pristup internetskom bankarstvu.
• Lažna promjena IBAN-a: „dobavljač" javlja da se promijenio račun za uplatu. Za obrt je ovo možda najskuplja varijanta, jer je uplatu na tuđi račun teško vratiti.

Što provjeriti prije klika

Pogledaj adresu pošiljatelja. Ako poruka „od pošte" dolazi s besplatne e-mail adrese ili čudne domene poput dostava-hr-info.xyz, to je prijevara. Prije klika na računalu prijeđi mišem preko poveznice i pogledaj stvarnu adresu. Na mobitelu dugo pritisni poveznicu da je vidiš.

Promjenu IBAN-a nikad ne prihvaćaj samo na temelju e-maila. Nazovi dobavljača na broj koji već imaš, ne na broj iz poruke.

Web stranica: gdje nastaju rupe

Napadači ne biraju mete ručno. Automatizirani programi pretražuju internet i traže stranice s poznatim ranjivostima. Tvoj web im je zanimljiv i kad nema nikakve vrijednosti: preko njega se šalje spam, skriva zlonamjerni kod ili napada dalje.

Kod web stranice koju netko samo „napravi i preda", tipične rupe su iste:

• Neažurirani dodaci i teme. WordPress sam po sebi nije nesiguran, ali stranica s dodacima koje nitko ne ažurira jest. Ranjivost u dodatku postane javna, a napadi slijede.
• Slaba prijava u administraciju. Korisnik „admin", lozinka iz rječnika, bez ograničenja broja pokušaja.
• Nema sigurnosne kopije. Ili postoji, ali na istom poslužitelju, pa nestane zajedno sa stranicom.
• Istekao SSL certifikat. Preglednik posjetitelju prikaže upozorenje i on ode.
• Forme bez zaštite. Kontakt forma postane kanal za spam ili za slanje zlonamjernih poveznica.

Zato je prvo pitanje uvijek isto: tko ažurira tvoj web, koliko često i gdje su sigurnosne kopije. Ako na to nemaš odgovor, to je tvoj najveći rizik, veći od bilo kojeg alata.

Lozinke i dvostruka autentifikacija

Lozinka, koliko god duga bila, nije dovoljna ako je ukradena phishingom ili procurila s neke druge stranice. Dvostruka autentifikacija (2FA) nakon lozinke traži i kod s mobitela ili iz aplikacije za autentifikaciju. Napadač koji zna lozinku bez tvog mobitela ne ulazi.

Uključi je redom na:

1. poslovni e-mail (preko njega se resetira sve ostalo);
2. internetsko bankarstvo, ako to banka već nije napravila;
3. Google račun i Google profil tvrtke;
4. Facebook, Instagram i ostale društvene mreže;
5. administraciju web stranice i račun kod registrara domene.

Digitalna higijena: pet pravila za svaki obrt

1. Različite lozinke za različite servise. Ista lozinka za e-mail obrta i privatni Facebook znači da jedan procurjeli račun otvara sve.
2. Upravitelj lozinki. Alati poput Bitwardena ili 1Passworda pamte duge lozinke umjesto tebe, pa ne moraš birati između sigurne i pamtljive.
3. Oprez s javnim Wi-Fijem. Za bankarstvo i administraciju weba koristi mobilni podatkovni promet, a ne mrežu u kafiću.
4. Sumnjaj u hitnost. Poruka koja traži da „odmah" platiš ili će račun biti obrisan za dva sata klasičan je znak prijevare.
5. Pregledaj izvode. Barem jednom tjedno pogledaj transakcije na poslovnom računu. Mala nepoznata terećenja znak su da netko provjerava radi li ukradena kartica.

Podaci klijenata i GDPR

Ako preko weba prikupljaš imena, telefone ili e-mail adrese (kontakt forma, naručivanje, newsletter), ti si voditelj obrade tih podataka. GDPR od tebe traži primjerene tehničke i organizacijske mjere zaštite (čl. 32.). Za kontakt formu to znači barem HTTPS, zaštitu od spama i to da upiti ne leže godinama u sandučiću kojem svi imaju pristup.

Pravila za prikupljanje adresa i privole objašnjena su u vodiču o tome kako legalno prikupljati e-mail adrese klijenata. Što mora biti na samoj stranici (politika privatnosti, kolačići, forme), prolazi vodič o GDPR-u i web stranicama.

Što ako podaci procure

Povredu osobnih podataka prijavljuješ Agenciji za zaštitu osobnih podataka (AZOP) bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon što za nju saznaš (čl. 33. GDPR-a). Prijava nije potrebna ako nije vjerojatno da povreda predstavlja rizik za prava i slobode ljudi. Ako je rizik visok, obavještavaš i same klijente (čl. 34.). Svaku povredu, i onu koju ne prijavljuješ, zapiši u vlastitu evidenciju.

Odnosi li se na tebe Zakon o kibernetičkoj sigurnosti?

Zakon o kibernetičkoj sigurnosti (NN 14/24) prenosi europsku direktivu NIS2. Odnosi se u pravilu na srednje i velike subjekte u sektorima navedenim u prilozima zakona, poput energetike, prometa, zdravstva i digitalne infrastrukture. Mikro i mali subjekti obuhvaćeni su samo iznimno, na primjer kad pružaju uslugu bez koje bi posao drugih stao ili kad nude određene digitalne usluge poput DNS-a.

Za tipičan obrt to znači da nema nove obveze iz tog zakona. Obveze iz GDPR-a i zdrav razum ostaju.

Kada ti treba web po mjeri, a kada ne

Kod sigurnosti je pitanje manje „po mjeri ili gotovo", a više „tko održava". Jednostavna stranica na hostanoj platformi, gdje ažuriranja i SSL rješava dobavljač, sasvim je dovoljna za obrt koji na webu ima kontakt i opis usluga.

Web po mjeri ima smisla kad preko njega teku podaci s kojima ne smiješ riskirati:

• naručivanje ili webshop s podacima o kupcima i narudžbama;
• zona za klijente s dokumentima, računima ili nalazima;
• povezivanje s knjigovodstvom, CRM-om ili fiskalizacijom;
• više korisnika s različitim ovlastima u administraciji.

Tada se uz izradu dogovara i održavanje: tko ažurira sustav, kako se rade i testiraju sigurnosne kopije, tko prati greške i tko se javlja ako stranica padne. Taj dogovor vrijedi više od bilo kojeg dodatka za zaštitu.

Česta pitanja

Je li moj obrt premali da bi bio zanimljiv napadačima?

Nije. Dio napada vode automatizirani programi koji ne biraju po veličini, nego traže ranjive stranice i nepažljive korisnike. Zanima ih tvoj bankovni račun, tvoj e-mail za daljnje prijevare ili tvoj poslužitelj za slanje spama. Mali obrt je k tome često lakša meta od velike tvrtke.

Što ako sam već kliknuo na sumnjivu poveznicu i upisao podatke?

Ako si upisao podatke s kartice, nazovi banku i blokiraj karticu. Ako si upisao lozinku, promijeni je svugdje gdje je koristiš i uključi dvostruku autentifikaciju. Provjeri pravila prosljeđivanja u e-mailu, jer ih napadači znaju postaviti potajno. Ako su procurili i podaci klijenata, procijeni treba li prijava AZOP-u.

Treba li mi poseban antivirusni program za web stranicu?

Ovisi o tome na čemu stranica radi. Kod hostane platforme zaštitu poslužitelja rješava dobavljač. Kod vlastitog WordPressa sigurnosni dodatak pomaže, ali ne zamjenjuje redovita ažuriranja i sigurnosne kopije. Nijedan dodatak ne štiti stranicu koju nitko ne održava.

Moram li prijaviti curenje podataka klijenata?

Povredu osobnih podataka prijavljuješ AZOP-u bez nepotrebnog odgađanja, a ako je izvedivo najkasnije 72 sata nakon što saznaš, osim ako nije vjerojatno da predstavlja rizik za ljude čiji su podaci. Ako je rizik visok, obavještavaš i njih. Svaku povredu zapiši, i kad je ne prijavljuješ.

Kako znam je li moj web redovito ažuriran?

Pitaj onoga tko ga održava tri stvari: kad je zadnje ažuriranje, gdje su sigurnosne kopije i kad je zadnji put provjereno da se iz kopije može vratiti stranica. Ako odgovore ne dobiješ ili nitko nije zadužen, to je prvo što treba riješiti.

Zaključak

Napad na mali obrt rijetko traži genijalnog hakera. Češće je dovoljan jedan klik ili jedan neažuriran dodatak. Dvostruka autentifikacija, oprez s porukama koje traže hitnost i web s jasnim održavanjem zatvaraju te rupe. Sve troje možeš postaviti bez IT odjela.