Yhtiön koko määrittää monelta osin sitä, millaisten tietoturvahyökkäysten kohteeksi se joutuu. Tietoturvaratkaisuja toimittavan Barracuda Networksin tutkimus kertoo esimerkiksi, että pienillä yhtiöillä suurimman uhan muodostavat tietojenkalastelu- ja kiristysviestit, kun isoja yrityksiä uhkaa organisaation sisäiset kalasteluviestit.
Vaikka nämä ns. BEC-hyökkäykset (Business Email Compromise) ja keskustelujen kaappaukset ovat lähes yhtä yleisiä pienissä ja suurissa yrityksissä, muiden kohdennettujen sähköpostiuhkien osalta yhtiön koko määrittää sen kohtaamien tietoturvahyökkäysten luonteen. Esimerkiksi kalastelu- ja kiristysviestit kohdistuvat todennäköisimmin pieniin yrityksiin.
Barracuda Networksin tuotemarkkinoinnista vastaavan Olesia Klevchukin mukaan suuret yritykset tarjoavat hyökkääjille enemmän potentiaalisia sisäänpääsypisteitä. Sähköpostilaatikoita on yksinkertaisesti enemmän. - Lisäksi suurissa yrityksissä on useita viestintäkanavia haitallisten viestien levittämiseksi koko yritykseen. Toisaalta pienemmillä yrityksillä on harvemmin käytössä monitasoinen tietoturva ja myös yrityksen sisäinen valmius sekä resurssit voivat olla vähäisempiä kuin isoissa yrityksissä.
Kesäkuun 2023 ja toukokuun 2024 välisenä aikana pieniin yrityksiin kohdistuneista sähköpostihyökkäyksistä 71 prosenttia oli tietojenkalasteluviestejä. Suurten yhtiöiden kohdalla vastaava osuus oli vain 41 prosenttia. Pienempiin yrityksiin kohdistui myös noin kolme kertaa enemmän kiristyshyökkäyksiä kuin suuriin yrityksiin. Kiristyshyökkäykset muodostivat seitsemän prosenttia pienimpiin yrityksiin kohdistuneista hyökkäyksistä, kun isoihin yrityksiin kohdistuneista hyökkäyksistä ne muodostivat vain kaksi prosenttia.
Sen sijaan isot yritykset ovat alttiita erityisesti sisäisille kalasteluviesteille (lateral phishing). Sisäinen kalasteluviesti tarkoittaa sitä, että tietoverkkorikollinen saa käyttöönsä yrityksen tai organisaation sisäisen tilin ja hyödyntää sitä lähettääkseen tietojenkalasteluviestejä organisaation muille työntekijöille. Hieman alle puolet (42 %) suurimmissa yrityksissä havaituista kohdennetuista sähköpostihyökkäyksistä liittyi sisäiseen kalastukseen, kun taas pienimmissä organisaatioissa vastaava osuus oli vain kaksi prosenttia. Lateral phishing on merkittävä riski suurille yrityksille.
Suuret yritykset ovat houkuttelevia kohteita rikollisille, koska niillä on pieniä organisaatioita todennäköisemmin hallussaan arkaluonteista tietoa. Koska sähköpostiosoitteita ja työntekijöitä on isoissa yrityksissä enemmän kuin pienissä, sisäänpääsyreittejä yhtiön hallussa olevaan arkaluonteiseen tietoon on myös paljon. Isoissa organisaatioissa on usein käytössä pitkiä jakelulistoja, joiden kautta haittaohjelmat leviävät nopeasti koko yritykseen.
Barracudan asiantuntijat havaitsivat, että lateraaliset kalasteluhyökkäykset ovat harvoin kohdennettuja. Rikolliset käyttävätkin "spray and pray" -tekniikkaa, jonka johdosta sisäiset kalasteluhyökkäykset saattavat sisältää jopa tuhansia viestejä.
Tutkimukseen voi tutustua täällä.
