Ktokoľvek pripojený k internetu dnes predstavuje potenciálnu obeť kybernetického útoku. Ak ste sa ešte nestali cieľom útoku zlých hackerov, je len otázkou času, kedy k tomu dôjde. O napadnutí dnes už nerozhodujú ľudia, ale roboty. Až 90 % všetkých kybernetických útokov majú na svedomí automatické skripty. Denne skenujú desaťtisíce stránok a aplikácií. Na ich zozname sa skôr či neskôr objavíte aj vy.
O tom, aké praktické dôsledky môže mať pre vašu spoločnosť napadnutie hackerom, sme už písali. Nemenej dôležitým aspektom je ale finančný dopad pre vašu firmu. Viete, koľko vás môže stáť jeden dokonaný hackerský útok na váš systém?
Náprava škôd v dôsledku úniku dát a napadnutej infraštruktúry
Základným finančným dôsledkom je náprava priamych škôd, ktoré napáchal black-hat hacker. Výška týchto nákladov súvisí s viacerými faktormi – s tým, ako „hlboko“ do systému zlý hacker prenikol, aké škody tam spáchal a v akom stave zostal váš systém po kybernetickom útoku.
Úplne najhorší scenár nastane, keď útočník získa nad vašim systémom úplnú kontrolu a jeho cieľom je napáchanie čo najväčšej škody. Okrem krádeže citlivých údajov (ktorých cena na čiernom trhu sa pohybuje v rozmedzí desiatok až stoviek eur za pár „meno+heslo“) môžete utrpieť aj oveľa horšie následky – vymazanie databáz a údajov, znefunkčnenie webstránky alebo aplikácie (v 45 % prípadov), či dokonca poškodenie celého sofvérového ekosystému vo vašej spoločnosti.
Veľkým rizikom je aj možnosť, že útočník vo vašom systéme ponechal tzv. zadné dvierka (angl. backdoors). Tie mu aj po oprave známych bezpečnostných dier umožňujú prístup do vášho systému. Je extrémne náročné objaviť škodlivý kód takéhoto typu, čo je aj dôvodom častých preinštalovaní systémov od úplnej piky. Pritom ani to nemusí pomôcť, keďže „backdoory“ je možné ponechať aj priamo v BIOSe.
Náklady za vysporiadanie sa s následkami „masívneho“ hackerského útoku sa počítajú veľmi ťažko. Náprava škôd v sebe zahŕňa počiatočnú analýzu útoku, obnovenie softvéru do pôvodného stavu, ale aj opätovné nastavenia a prácu odborníkov, ktorí si účtujú desiatky eur na hodinu.
Váš systém navyše musí prejsť prísnou bezpečnostnou kontrolou, aby sa kybernetický útok už neopakoval. Ak si spočítate všetky spomínané náklady, ich celková suma môže predstavovať poľahky aj 5-ciferné číslo. V eurách.
Strata tržieb v dôsledku útoku hackera
Mnoho ľudí si neuvedomuje, že v čase, kedy sú ich systémy nefunkčné, prichádzajú priamo aj nepriamo o tržbu. Už aj malý výpadok môže stáť vašu spoločnosť tisíce eur. Príkladom môže byť najväčší online predajca Amazon. V roku 2013 utrpel „iba“ 40-minútový výpadok svojho webu. Každú minútu, čo bola stránka nefunkčná, prišiel Amazon o $117,882. Za menej ako hodinu tak boli jeho tržby ukrátené o takmer 4,7 milióna dolárov.
Lokálnym príkladom môže byť hacknutie veľkého slovenského e-shopu pred Vianocami v roku 2016. Útočníci využili na prístup k serveru e-shopu bezpečnostnú dieru v kóde samotnej aplikácie, ktorú spoločnosť používala. Ich cieľom sa stal e-mailový server, cez ktorý následne rozosielali spam na veľké množstvo e-mailových adries zákazníkov. E-mailová adresa sa dostala do blacklistu a e-shop nebol niekoľko dní schopný regulérne využívať svoj e-mailový server. Ušlý zisk bol o to väčší, že išlo o obdobie niekoľkých dní pred Vianocami.
Strata tržieb môže byť významnou časťou nákladov na nápravu škôd po kybernetickom útoku aj v prípade, že váš portál negeneruje 100 000 dolárov za minútu. Povedzme, že útočník úplne znefunkčnil váš web a neviete ho obnoviť do pôvodného stavu. Tvorba nového jednoduchého webu trvá minimálne mesiac a testovanie jeho bezpečnosti ďalšie týždne. Vynásobte si tak vaše týždenné tržby dĺžkou trvania výpadku a zistíte, o koľko peňazí môžete prísť kvôli napadnutiu hackerom.
Náklady na „očistenie mena“ po kyber útoku
O tom, aká dôležitá je krízová komunikácia po hackerskom útoku, už viete. Zamysleli ste sa však niekedy nad cenou za „pošpinenie“ vašej dobrej povesti? Jej očistenie nie je vôbec jednoduché a lacné.
Hacknuté webstránky dokáže detegovať aj Google a vo vyhľadávaní ich označuje špeciálnym spôsobom. Chce tak chrániť svojich používateľov pred stratou ich citlivých dát a pred škodlivým kódom, ktoré môžu takéto weby obsahovať.
Toto označenie nie je trvalé, no jeho odstránenie môže byť pre bežné spoločnosti náročné. Formulár na jeho odstránenie je potrebné zadať až po tom, ako je vaša webstránka 100-percentne bezpečná a neobsahuje žiadny škodlivý kód. Google má následne niekoľko týždňov na posúdenie žiadosti a ako vždy, necháva si na to dostatok času…
Detekcia hacknutia webstránky má ale aj ďalší dopad – poškodené SEO. Váš web sa môže dostať na tzv. black listy stránok, ktoré majú značne znížené SEO skóre, a tak sa zobrazujú vo vyhľadávaní až na ďalších stranách, ak vôbec. Náprava tohto stavu môže trvať aj mesiace a vyžaduje si skúseného odborníka z tejto oblasti.
Obrázok: SearchEngineLand
Očistením vášho mena sa však zďaleka nemyslí len jeho náprava v očiach Googlu a SEO algoritmov. Oveľa horšie to je s obnovou dôvery v očiach vašich zákazníkov či klientov. Ak pri kybernetickom útoku došlo ku krádeži alebo zneužitiu ich dát, máte na krku obrovský problém. Z dlhodobého hľadiska môže predstavovať stratu takmer až tretiny zákazníkov.
Priemerné náklady na opravu za jeden ukradnutý citlivý záznam sú 172 dolárov. (Zdroj)
S krádežou citlivých dát zákazníkov má svoje skúsenosti aj medzinárodný obchod Mall. V roku 2014 mu zlí hackeri odcudzili údaje k 750 000 používateľským účtom. Spoločnosť navyše využívala slabé (už prekonané) šifrovanie, takže dáta boli aj prakticky zneužiteľné.
Pre spoločnosti, ktoré majú státisíce zákazníkov, nemusí ešte strata niekoľkých desiatok percent znamenať istú záhubu. Pri menších e-shopoch a firmách, ktorých biznis závisí od takmer každého zákazníka, môže byť ale útok black-hat hackerov fatálny.
Hackerský útok vedie k strate investícií (minulých aj budúcich)
Možno to nie je hneď zrejmé, ale každá škoda, ktorú vám spôsobí hacker-zločinec, pre vás predstavuje stratu investície. Nefunkčná či infikovaná webová aplikácia znamená nielen náklady na jej opätovné spustenie, ale aj čiastočnú stratu nákladov, ktoré ste použili na jej vytvorenie.
Prísť môžete aj o firemné dáta, o citlivé údajov zákazníkov alebo aj priamo o vašich zákazníkov. Na ich prilákanie ste využili drahý marketing a je veľmi pravdepodobné, že po útoku crackera o časť z nich prídete. Myslite pritom na to, že získanie nového zákazníka je 5-krát drahšie ako udržanie si už existujúceho klienta.
Hacknutá webstránka alebo firemný systém predstavujú problém aj v očiach obchodných partnerov.
Ak firma nedokáže zabezpečiť svoje údaje, ako jej môžu dôverovať klienti, že zabezpečí dáta, ktoré patria im?
Hackerský útok predstavuje stratu už vynaložených investícií do vášho biznisu a s najväčšou pravdepodobnosťou aj stratu budúcich investícií. A to môže byť na tak silne konkurenčnom trhu, aký zažívame dnes, pre spoločnosť obrovský problém.
Pokuty a problémy so štátom kvôli hacknutiu
To, že vašu webstránku napadol zlý hacker, budete musieť podľa nového vyhlásenia GDPR oznámiť do 72 hodín príslušnému kontrolnému orgánu. Ten v závislosti od typu útoku a vzniknutých škôd vyčísli vašej spoločnosti aj finančnú pokutu , ktorá môže dosiahnuť až výšku 20 miliónov EUR alebo 4 % celkového obratu za predchádzajúci účtovný rok. Pri rozhodovaní o jej výške sa berie do úvahy aj to, ako ste osobné dáta spravované vašou spoločnosťou chránili pred kybernetickým útokom.
Obrázok: Martech
Celkové finančné náklady potrebné na opravu a opätovné spustenie prevádzky vašej spoločnosti po napadnutí zlým hackerom môžu po sčítaní všetkých spomínaných nákladov prevýšiť v prípade malých a stredných podnikov poľahky sumu 50 000 EUR. V USA však táto suma prekračuje v priemere $100,000 a pri veľkých podnikoch sa dokonca nachádza v priemere na úrovni 1,3 milióna dolárov.
Pre vypočítanie približnej výšky výdavkov na nápravu škôd po hackerskom útoku môžeme využiť tento vzorec:
Priama finančná strata (krádež financií…)
+ náklady na analýzu útoku a odbornú expertízu
+ náklady vzniknuté z úniku citlivých dát (obnova dát, pokuty štátu…)
+ náklady na krízovú PR komunikáciu
+ čas potrebný na vytvorenie nového „bezpečného“ webu X výpadok denných tržieb
_____________________________
= celkové náklady na nápravu škôd po kybernetickom útoku
(+ veľmi ťažko (finančne) merateľná strata reputácie u zákazníkov)
Jedným zo spôsobov, ako váš web alebo online aplikáciu môžete ochrániť pred zlými hackermi, je bug bounty program. Tento spôsob zabezpečenia využívajú aj spoločnosti ako Google, Apple, Tesla či Facebook. Ide o finančne efektívnu a dlhodobú možnosť testovania vašej bezpečnosti pomocou komunity etických hackerov. Prečítajte si, ako to funguje a založte si aj vy svoj vlastný bug bounty program.
