E-pasts joprojām ir galvenais uzbrukumu vektors jaunuzņēmumiem: piecas kļūdas, ko pieļauj dibinātāji
Jaunuzņēmumi bieži ignorē e-pasta drošību, taču dati liecina, ka pikšķerēšana ir visizplatītākais uzbrukumu sākumpunkts, un viena kompromitēta pastkaste var iznīcināt agrīnas stadijas uzņēmumu.
Saskaņā ar IBM 2025. gada datu pārkāpumu izmaksu ziņojumu, pikšķerēšana atkal bija visizplatītākais sākotnējais uzbrukuma vektors, veidojot 16% no analizētajiem pārkāpumiem, ar vidējām izmaksām 4,19 miljoni eiro par incidentu. Verizon datu pārkāpumu izmeklēšanas ziņojums piebilst, ka cilvēciskais faktors — pikšķerēšana, nozagti akreditācijas dati vai sociālā inženierija — ir iesaistīts aptuveni 60% pārkāpumu.
Dibinātāji bieži pieļauj piecas būtiskas kļūdas:
1. E-pasta drošības uztveršana kā IT problēma, ko atlikt uz vēlāku laiku. Jaunuzņēmumā “IT” bieži vien ir tas, kurš pirmajā nedēļā uzstādīja darbvietas kontu ar noklusējuma iestatījumiem. E-pasts nav tikai saziņas kanāls — tā ir galvenā atslēga uz visu pārējo. Paroles atiestatīšana CRM, mākoņpakalpojumu konsoles un banku portāliem notiek caur pastkasti. Ja uzbrucējs iegūst kontroli pār dibinātāja e-pastu, viņš faktiski kontrolē uzņēmumu. Risinājums gandrīz neko nemaksā: ieviest divfaktoru autentifikāciju (vēlams aparatūras atslēgas vai bezparoles piekļuvi, nevis SMS), jau no pirmās dienas prasīt paroļu pārvaldnieku un izvēlēties biznesa e-pasta pakalpojumu sniedzēju, kuram drošība ir noklusējuma iestatījums.
2. Pieņemšana, ka komanda atpazīs pikšķerēšanas e-pastus. Apmācības, kas izstrādātas 2015. gada draudu ainavai, tagad ir bīstami novecojušas. IBM pētījums atklāja, ka ģeneratīvais mākslīgais intelekts ir samazinājis laiku, kas nepieciešams pārliecinoša pikšķerēšanas e-pasta izveidei no aptuveni 16 stundām līdz 5 minūtēm. Keepnet pētījums parādīja, ka jaunie darbinieki ir par 44% biežāk pakļauti pikšķerēšanai nekā ilgāk strādājošie, un 71% noklikšķina uz pikšķerēšanas e-pasta pirmajās 90 dienās. Apmācībai jābūt nepārtrauktai un balstītai uz simulācijām, nevis vienreizēju ievadslaidprogrammu.
3. Ignorēšana, ka naudas pārskaitījumi ir risks. Biznesa e-pasta kompromitēšanas (BEC) uzbrukumi neprasa ļaunprātīgu programmatūru. Tie izmanto ticamu e-pastu, it kā no ceļojoša izpilddirektora, kurš steidzami pieprasa pārskaitījumu. Verizon ziņojums norāda, ka vidējie zaudējumi no viena BEC incidenta ir aptuveni 43 675 eiro, kas daudzām agrīnās stadijas kompānijām ir mēnesis vai vairāk darbības nodrošināšanai. Aizsardzība ir procedurāla: jebkuras izmaiņas maksājumu datos vai pārskaitījumi virs noteikta sliekšņa jāapstiprina caur otru kanālu — jāzvana uz zināmu numuru, nevis jāatbild uz e-pastu.
4. Garlaicīgo autentifikācijas standartu izlaišana. SPF, DKIM un DMARC ir trīs DNS bāzēti e-pasta autentifikācijas ieraksti, kas pasaka pasta serveriem, kuri ziņojumi patiešām nāk no jūsu domēna. Bez tiem ikviens var sūtīt e-pastus, kas izskatās, ka nāk no jums — adresēti jūsu klientiem, investoriem vai piegādātājiem. DMARC uztur pieejamu dokumentāciju, un visu trīs konfigurēšana parasti aizņem pēcpusdienu.
5. Aizmirstība, ka e-pasta drošība ir arī atbilstības prasība. Saskaņā ar GDPR personas datu aizsardzības pārkāpums e-pastos var izraisīt pienākumu paziņot 72 stundu laikā un naudas sodus līdz 20 miljoniem eiro vai 4% no globālā apgrozījuma. NIS2 direktīva paplašina drošības pienākumus uz plašāku uzņēmumu loku un to piegādātājiem. Arvien biežāk uzņēmumu klienti un investori due diligence laikā pārbauda drošības praksi. ENISA publicē bezmaksas vadlīnijas, kas paredzētas MVU.
Secinājums: Uzņēmumi, kas to dara pareizi, netērē vairāk — viņi pieņem lēmumus agrāk. Nostiprināta e-pasta konfigurācija, maksājumu apstiprināšanas noteikums, trīs DNS ieraksti un reālistiska apmācība neitralizē uzbrukuma vektoru, kas ir pamatā lielākajai daļai pārkāpumu. Visi šie pasākumi ir pieejami pat divu cilvēku komandai.
