Kleine bedrijven worden 3x vaker aangevallen dan grote

Voel je je als kleiner bedrijf relatief veilig voor cyberaanvallen? “Wat valt er bij ons nou te halen — hackers weten niet eens dat we bestaan.” Het is een begrijpelijke gedachte, maar hij klopt niet. Onderzoek laat juist het tegenovergestelde zien: medewerkers bij kleine bedrijven krijgen fors meer social-engineering-aanvallen te verwerken dan collega’s bij grote organisaties.

Kleine bedrijven zijn voor aanvallers geen te kleine vis. Integendeel: ze zijn vaak makkelijker binnen te komen, en met minder moeite dan bij een groot concern met een heel beveiligingsteam. Hieronder leggen we uit waarom het MKB juist een geliefd doelwit is — en wat je eraan doet.

Waarom aanvallers kleine bedrijven opzoeken

Er wordt minder aan beveiliging uitgegeven

Als ondernemer jongleer je continu met je budget. Cyberbeveiliging staat wel op de lijst, maar zakt makkelijk naar “volgende maand”. Veel MKB-bedrijven kopen een virusscanner en denken daarmee gedekt te zijn. Maar met werk in de cloud en op allerlei apparaten is dat maar één dun laagje. Je hebt er meer nodig. Aanvallers weten dat, en zien het MKB daardoor als laaghangend fruit.

Elk bedrijf heeft iets waardevols

Ook een eenmanszaak heeft gegevens die geld waard zijn. Denk aan klantgegevens, personeelsgegevens, bankgegevens, e-mailadressen en betaalgegevens. Op de zwarte markt is dat allemaal handel, bruikbaar voor identiteitsfraude en vervolgoplichting. Je hoeft dus geen grote naam te zijn om interessant te zijn.

Kleine bedrijven zijn een opstap naar grote

Lever je diensten aan grotere klanten — marketing, boekhouding, websitebeheer, onderhoud? Dan ben je via die connectie extra interessant. Als een aanvaller bij jou binnenkomt, kan hij soms doorspringen naar het systeem van je klant. Twee bedrijven voor de moeite van één. Dit soort supply-chain-aanvallen bespraken we eerder in supply-chain-aanvallen.

Onvoorbereid op gijzelsoftware

Ransomware (gijzelsoftware) is al jaren een van de snelst groeiende aanvallen. Ook al valt er bij een klein bedrijf minder losgeld te halen dan bij een groot concern, voor de aanvaller is het alsnog de moeite — hij kan namelijk veel meer kleine bedrijven raken dan grote. En zolang bedrijven blijven betalen, blijft het lucratief.

Medewerkers zijn zelden getraind

Doorlopende securitytraining staat bij veel kleine bedrijven niet bovenaan; de aandacht gaat naar sales en de dagelijkse gang van zaken. Maar bij de meeste aanvallen heeft de hacker hulp van een medewerker nodig — net als een vampier die uitgenodigd moet worden om binnen te komen. Phishing is het middel om die medewerking te ontfutselen, en veruit de meeste datalekken beginnen ermee. Iemand opent een bijlage of klikt op een link, en de aanval is binnen.

Een klein praktijkscenario

Een boekhoudkantoor met acht mensen krijgt een mail die lijkt te komen van een vaste leverancier, met een gewijzigd rekeningnummer. Niemand is getraind om zoiets te checken, dus de betaling gaat eruit. Een paar duizend euro weg, plus het gedoe erna. Eén korte training en de afspraak “betaalwijzigingen altijd even bellen” had dit voorkomen.

Zo bescherm je je bedrijf zonder groot budget

Goede beveiliging hoeft niet duur te zijn. Met een paar gerichte stappen dek je de grootste risico’s af:

• Zet meerdere lagen op. Niet alleen een virusscanner, maar ook MFA, een goede back-up en updates die op tijd worden geïnstalleerd.
• Train je mensen. Korte, herhaalde bewustwording over phishing en wachtwoorden is minstens zo belangrijk als een firewall. Zie hoe vaak je securitytraining moet geven.
• Gebruik een wachtwoordmanager en MFA. Daarmee voorkom je de meest voorkomende accountovernames.
• Maak een plan voor als het tóch misgaat. Zie ons cyberaanval-stappenplan.

Meer over de veelgemaakte fouten lees je in 5 cybersecurity-fouten in het MKB en cybersecurity-strategieën voor het MKB.

Veelgestelde vragen

Zijn kleine bedrijven echt vaker doelwit?

Ja. Onderzoek laat zien dat medewerkers bij kleinere bedrijven veel meer social-engineering-aanvallen krijgen dan bij grote organisaties. De reden: kleinere bedrijven zijn makkelijker binnen te komen en talrijker.

Is een virusscanner niet genoeg?

Nee. Een virusscanner is één laag. Met werk in de cloud en op mobiele apparaten heb je meer nodig: MFA, back-ups, updates en bewustwording bij je team.

Wat is de goedkoopste manier om veiliger te worden?

MFA aanzetten en je team trainen op phishing. Beide kosten weinig en pakken juist de risico’s aan waar de meeste aanvallen op leunen: zwakke wachtwoorden en menselijke fouten.

Wat als we toch geraakt worden?

Zorg dat je een back-up hebt die losstaat van je netwerk, en een plan om snel te handelen. Hoe sneller je ingrijpt, hoe beperkter de schade. Een IT-partner kan je hierbij helpen.

Wil je weten waar jouw bedrijf kwetsbaar is — zonder meteen een groot budget? We bieden betaalbare beveiliging op maat voor het MKB. Neem contact op voor een vrijblijvende check.