פשעי סייבר מהווה איום מתמשך על עסקים בבריטניה. עם ארגונים רבים שנשענים על שרשרת אספקה דיגיטלית ומשתמשים בפלטפורמות מבוססות ענן כדי לאחסן את הנתונים שלהם, ההזדמנויות של גורמי איומים לנצל פגיעויות צומחות, ועסקים מתאמצים לעמוד בקצב.
למעשה, 100% מהעולם שלנו דוח מצב אבטחת מידע המשיבים - יותר מ-1,500 אנשי אבטחת מידע - אומרים שהארגון שלהם חווה אירוע אבטחת סייבר או אבטחת מידע ב-12 החודשים האחרונים. בנוסף להפסדים כספיים פוטנציאליים מתקריות אלה, 99% מהמשיבים בבריטניה קיבלו קנסות רגולטוריים על הפרת נתונים או הפרה של כללי הגנת מידע.
תוך שימוש בנתונים שדווחו ל- Action Fraud ומדוח מצב אבטחת המידע שלנו, כריסטי ריי בוחנת את ההשפעה הפיננסית של פשעי סייבר על עסקים בבריטניה* וכיצד ארגונים יכולים לשפר את הגנת אבטחת המידע שלהם.
חמשת פשעי הסייבר המובילים המשפיעים על עסקים בבריטניה
Action Fraud מפרט כמה פשעים שונים בקטגוריית הפשע התלוי בסייבר. אלו הם:
- NFIB50A – וירוס מחשב/תוכנה זדונית/תוכנות ריגול
- NFIB51A - מתקפת מניעת שירות
- NFIB51B – מתקפת מניעת שירות – סחיטה
- NFIB52A – פריצה – שרת
- NFIB52B – פריצה – אישי
- NFIB52C – פריצה – מדיה חברתית ודואר אלקטרוני
- NFIB52D – פריצה – מרכזיה/חיוג דרך
- NFIB52E – פריצה – סחיטה.
להלן חמשת פשעי הסייבר המובילים המשפיעים על ארגונים בבריטניה.
| סוג הונאה (5 המובילים) | נפח דיווח | הפסד כספי | הפסד ממוצע לדוח** |
| NFIB50A – וירוס מחשב \ תוכנות זדוניות \ תוכנות ריגול | 274 | £908,196 | £3,315 |
| NFIB52C – פריצה – מדיה חברתית ודואר אלקטרוני | 1,944 | £783,704 | £403 |
| NFIB52E - סחיטת פריצה | 411 | £401,923 | £978 |
| NFIB52B – פריצה – אישי | 199 | £98,565 | £495 |
| NFIB52A – פריצה – שרת | 398 | £0 | £0 |
| סה"כ | 3,226 | £2,192,388 | £680 |
1. NFIB50A – וירוס מחשב / תוכנות זדוניות / תוכנות ריגול
תיאור הפשע של הלשכה הלאומית למודיעין הונאה (NFIB).[1]: יש לתעד פשעים במסגרת סעיף זה עד לנקודה שבה העבריין משתמש בפועל בתוכנה הזדונית. כאשר העבריין משתמש בתוכנה הזדונית, זה הופך להיות מיקוד מכוון של אותו מחשב.
כאשר נעשה שימוש בתוכנה זדונית להשגת פרטים כדי לבצע הונאה או עבירות אחרות של שימוש לרעה במחשב, עבירות ההונאה או השימוש לרעה במחשב הן הפשע העיקרי ויש לתעד אותן. נעשה שימוש בתוכנה הזדונית כדי לאפשר ביצוע עבירה נוספת ואין לרשום עבירה במסגרת סעיף זה אם דווחה בו-זמנית.
דוגמה: מר A מדווח ל- Action Fraud שהוא לחץ על קישור שהוריד תוכנית. הוא הפעיל תוכנית נגד תוכנות ריגול ונאמר לו שהתוכנית היא תוכנת לוגר מפתח והוסרה בהצלחה. פשע אחד של שינוי לא מורשה של חומר מחשב (מחלקה NFIB50A). שבוע לאחר מכן, הוא יוצר קשר עם Action Fraud כדי לדווח שהיום בוצעה גישה לא חוקית לחשבון הבנק המקוון שלו ונגנבו ממנו 2000 ליש"ט על ידי שינוי הוראת קבע לשלם את המשכנתא שלו. יש לרשום פשע נוסף אחד של הונאה מנדט (NFIB5D).
נפח דוח כולל: 274
הפסד כספי כולל: £908,196
הפסד ממוצע לדוח: £3,315
בין ינואר 2023 ליוני 2024, עסקים בבריטניה הפסידו מעל 900,000 ליש"ט בגלל וירוסי מחשב, תוכנות זדוניות או תוכנות ריגול ב-274 דוחות בלבד - כלומר, אירוע תוכנה זדוני בודד עולה לעסקים מעל 3,300 ליש"ט בממוצע. תוכנה זדונית הייתה תקרית אבטחת הסייבר המדווחת ביותר בדוח מצב אבטחת המידע שלנו, כאשר למעלה משליש (35%) מהארגונים חוו תקרית תוכנה זדונית ב-12 החודשים האחרונים.
2. NFIB52C – פריצה – מדיה חברתית ודואר אלקטרוני
תיאור פשע NFIB: פשע זה כולל את כל הצורות של חשבונות דוא"ל בודדים וכל צורות המדיה החברתית האישית, למשל X ופייסבוק. זה כולל חשבונות אישיים כמו גם חשבונות בודדים של חברות או ארגונים. אין לראות בהונאה זו מוגבלת למחשבים שולחניים או ניידים. זה יכול לכלול כל מכשיר המשתמש בתוכנת הפעלה הנגישה באינטרנט, למשל, קונסולות משחקים וסמארטפונים.
נפח דוח כולל: 1,944
הפסד כספי כולל: £783,704
הפסד ממוצע לדוח: £403
מדיה חברתית ופריצת דואר אלקטרוני עלו לעסקים מעל 780,000 פאונד ב-18 החודשים האחרונים. דו"ח מצב אבטחת המידע שלנו מצא שהנדסה חברתית הייתה אירוע אבטחת הסייבר השני בשכיחותו, שחוו 32% מהנשאלים.
3. NFIB52E – פריצה – סחיטה
תיאור פשע NFIB: זה קורה כאשר יש דרישה לא מוצדקת עם איומים (סחיטה) הקשורים לכל פריצה למחשב או איום של פריצת מחשבים. הסחיטה יכולה להיות ביחס לכל מחלקת NFIB תחת NFIB52 Computer Hacking.
דוגמה: ABC Ltd מדווחים שהם קיבלו דרישה לתשלום של 100,000 פאונד, אחרת עותק של הקוד של משחק המחשב החדש שלהם יתפרסם באינטרנט. הם מודאגים מאוד, מכיוון שבשבוע שעבר הם קיבלו מקל זיכרון שעליו מועתק חלק מהקוד מהשרת שלהם. פריצת מחשב פשע אחד (סחיטה) (מחלקה NFIB52E).
נפח דוח כולל: 411
הפסד כספי כולל: £401,923
הפסד ממוצע לדוח: £978
הדוח שלנו מצא שב-12 החודשים האחרונים, 29% מהארגונים - כמעט אחד מכל שלושה - חוו התקפת תוכנת כופר. מקרי סחיטה בפריצה גרמו להפסדים של למעלה מ-400,000 ליש"ט על ידי עסקים בבריטניה ב-12 החודשים האחרונים, כאשר 180,000 ליש"ט מההפסדים הללו נעשו ב-2024 למרות פחות דיווחים.
4. NFIB52B – פריצה – אישי
תיאור פשע NFIB: גישה בלתי מורשית לחומר מחשב מתוך כוונה לבצע או להקל על ביצוע עבירות נוספות. כאשר פעולותיו של ההאקר הינן מכינות בלבד ולא בוצעה עבירה מהותית לפי עבירת הונאה אחרת, אזי יש לרשום עבירה לפי סעיף זה.
נפח דיווח: 199
הפסד כספי: £98,565
הפסד ממוצע לדוח: £495
ארגונים הפסידו כמעט 100,000 פאונד בגלל פריצת מכשירים אישיים, כמו מחשב נייד או טלפון נייד. אמצעי אבטחה חזקים של מכשירי עבודה והכשרת עובדים ומודעות הם המפתח למאבק בסוג זה של התקפה. 35% מהארגונים אמרו שהעובדים שלהם השתמשו במכשירים אישיים למטרות עבודה ללא אמצעי אבטחה נאותים בדוח שלנו, מה שהופך את זה לשגיאת אבטחת הסייבר המובילה שעשו עובדים.
5. פריצה NFIB52A – שרת
תיאור פשע NFIB: כדי שהפשעים יירשמו במסגרת סעיף זה, הקבצים או השירותים המשתנים חייבים להיות בשרת ולא בכונן הקשיח המקומי של המחשב.
דוגמה: עובד משאיר את המחשב השולחני מחובר כשהוא עוזב את המשרד. לאחר מכן, עמית מקבל גישה לרישומי העסקתו המוחזקים בשרת ומתקן חלק מהפרטים הרשומים בתיק שלו באמצעות המחשב המחובר. פשע אחד של Hacking-Server (מחלקה NFIB52A).
נפח דוח כולל: 398
הפסד כספי: £0
הפסד ממוצע לדוח: £0
ארגונים לא עשו הפסדים כספיים לפשעי פריצת שרתים ב-18 החודשים האחרונים. עם זאת, הדבר נובע ככל הנראה מכללי רישום הפשע של NFIB, שקובעים כי "כאשר הגישה הבלתי מורשית אפשרה ישירות ביצוע של עבירת הונאה אחרת, הפשע העיקרי יהיה עבירת ההונאה האחרת".
סך הפסדים פיננסיים לעסקים לפשעים תלויי סייבר
בין ינואר 2023 ליוני 2024, עסקים דיווחו על כמעט 3,500 פשעי סייבר עם הפסדים כספיים של 2,234,788 פאונד ל- Action Fraud. 2,377 מהדוחות ו-1,367,477 פאונד של הפסדים בוצעו ב-12 החודשים האחרונים.
בינואר 2023 היו ההפסדים הכספיים הגבוהים ביותר, עם 179 דוחות, 580,734 פאונד הפסדים פיננסיים והפסד ממוצע משוער של 3,244 ליש"ט לדוח. ביוני 2023 נרשם ההפסדים הכספיים הנמוכים ביותר, עם 191 דוחות אך ללא הפסדים כספיים.
| חוֹדֶשׁ | נפח דיווח | הפסד כספי | הפסד ממוצע לדוח |
| ינואר 23 | 179 | £580,734 | £3,244 |
| פבר 23 | 194 | £196,743 | £1,014 |
| מרץ-23 | 216 | £40,862 | £189 |
| אפריל 23 | 176 | £30,067 | £170 |
| מאי-23 | 166 | £18,905 | £113 |
| יוני 23 | 191 | £0 | £0 |
| יולי 23 | 196 | £95,963 | £489 |
| אוג 23 | 208 | £160,237 | £770 |
| ספט-23 | 215 | £254,252 | £1,182 |
| אוק 23 | 214 | £2,956 | £13 |
| בנוב '23 | 222 | £74,249 | £334 |
| דצמ '23 | 177 | £114,920 | £649 |
| ינואר 24 | 196 | £423,500 | £2,160 |
| פבר 24 | 200 | £89,000 | £445 |
| מרץ-24 | 191 | £2,200 | £11 |
| אפריל 24 | 179 | £24,000 | £134 |
| מאי-24 | 173 | £120,400 | £695 |
| יוני 24 | 206 | £5,800 | £28 |
| סה"כ | 3,499 | £2,234,788 | £638 |
הטבלה שלהלן מציגה את המספר הכולל של דוחות פשיעה תלויי סייבר והפסדים כספיים שדווחו על ידי עסקים ויחידים בין ינואר 2023 ליוני 2024. רק 5.7% מהפשעים המדווחים תלויי סייבר דווחו על ידי עסקים, אך הם היוו 30% סך הפסדים כספיים.
| סך כל הפשעים תלויי סייבר ינואר 2023-יוני 2024 | ||
| תַאֲרִיך | נפח דיווח | הפסד כספי |
| ינואר 23 | 2,176 | £670,752 |
| פבר 23 | 1,972 | £442,071 |
| מרץ-23 | 2,517 | £659,304 |
| אפריל 23 | 2,267 | £253,575 |
| מאי-23 | 2,965 | £547,045 |
| יוני 23 | 2,874 | £310,386 |
| יולי 23 | 3,952 | £718,226 |
| אוג 23 | 3,313 | £332,210 |
| ספט-23 | 3,224 | £500,528 |
| אוק 23 | 3,670 | £363,292 |
| בנוב '23 | 3,957 | £264,566 |
| דצמ '23 | 3,439 | £490,098 |
| ינואר 24 | 4,028 | £890,500 |
| פבר 24 | 3,777 | £215,300 |
| מרץ-24 | 4,101 | £242,700 |
| אפריל 24 | 3,849 | £187,100 |
| מאי-24 | 4,461 | £257,600 |
| יוני 24 | 4,436 | £219,400 |
| סה"כ | 60,978 | £7,564,652 |
כמה מפסידים העסקים הממוצעים בבריטניה בשנה?
דוח מצב אבטחת המידע שלנו מצא כי 99% מהעסקים בבריטניה קיבלו קנסות על הפרת נתונים או הפרה של כללי הגנת מידע ב-12 החודשים האחרונים. המשיבים חשפו את הסכום הכולל בקנסות שקיבלו הארגונים שלהם:
| סכום קנס | ספירת המשיבים |
| עד £ 50,000 | 36 |
| ליש"ט 50,001- ליש"ט 100,000 | 101 |
| ליש"ט 101,000- ליש"ט 250,000 | 177 |
| ליש"ט 250,001- ליש"ט 500,000 | 133 |
| ליש"ט 500,001- ליש"ט 1,000,000 | 51 |
| יותר מ-1,000,000 פאונד, נא לציין | 0 |
| לא קיבלנו קנס על הפרת נתונים או הפרה של כללי הגנת מידע ב-12 החודשים האחרונים | 4 |
סך כל הקנסות הממוצעים של עסקים שקיבלו הוא 366,475 ליש"ט***, בעוד שההפסד הכספי הממוצע מדוח פשיעה תלוי סייבר בודד של ארגונים ל- Action Fraud באותו טווח זמן (אפריל 2023-מרץ 2024) היה 538.37 ליש"ט. ארגונים יכלו להפסיד עד 367,013 פאונד מתקרית בודדת.
מניעת התקפות סייבר עם ISO 27001
הפשעים התלויים בסייבר המובילים שדווחו ל- Action Fraud מראים כי ניצול טעויות אנוש הוא יעד מרכזי עבור גורמי איומים. בתגובה, ארגונים מתמקדים בחינוך לאבטחת מידע לעובדים. כמעט מחצית (45%) מהמשיבים בדוח מצב אבטחת המידע שלנו אומרים שהארגון שלהם אימץ התמקדות רבה יותר בחינוך ומודעות עובדים, ו-35% אומרים שפלטפורמות לניהול למידה הוכחו כשיטה היעילה ביותר.
הסמכה לתקני אבטחת מידע כמו ISO 27001 מסייעת לעסקים לנקוט בגישה יסודית לחיזוק הגנות האבטחה שלהם, תוך הפחתת הסיכון לאירועי סייבר. כדי להשיג הסמכת ISO 27001, עסקים חייבים לבנות, לתחזק ולשפר ללא הרף מערכת ניהול אבטחת מידע תואמת ISO 27001 (ISMS) ולהשלים בהצלחה ביקורת חיצונית.
ניהול סיכונים
ניהול סיכוני אבטחת מידע מתמשך הוא דרישה של סעיף 27001 בתקן ISO 6.1, פעולות לטיפול בסיכונים והזדמנויות. הארגון שלך צריך לזהות את הסיכונים הקשורים לכל נכס מידע במסגרת ה-ISMS שלך, ולבחור את טיפול הסיכונים המתאים לכל סיכון - לטפל, להעביר, לסבול או להפסיק.
ISO 27001 נספח A מתאר את 93 הבקרות שעל הארגון שלך לשקול בעת ניהול סיכונים, ויש לתת הצדקה להחלטה להחיל או לא להחיל בקרה בהצהרת התחולה שלך (SoA). גישה יסודית זו לניהול סיכונים וטיפול מאפשרת לארגון שלך לזהות, לטפל ולהפחית סיכונים לאורך מחזור החיים שלהם, להפחית את הסבירות לאירוע ולהקטין את ההשפעה במקרה של אירוע.
שיפור מתמשך
תקן ISO 27001 מקדם שיפור מתמיד באבטחת מידע, כולל מודעות מתמשכת לאבטחת מידע כלל הארגון. למודעות יש תפקיד מפתח בתאימות לתקן ISO 27001; נספח A.6.3 אבטחת מידע ומודעות לפרטיות, חינוך והכשרה הם אחד מ-93 הפקדים של התקן. הבקרה מבטיחה מודעות לעובדים ומילוי אחריותם לאבטחת המידע.
נקוט עמדה נגד פשעי סייבר יקרים
הנתונים הסטטיסטיים של Action Fraud ו-ISMS.online של דוח אבטחת המידע של ISMS.online חושפים שפשיעת סייבר מהווה אתגר מתמשך וגדל עבור עסקים בבריטניה. הדיווחים על פשעים תלויי סייבר הולכים וגדלים משנה לשנה וארגונים שנופלים קורבן לפרצות מידע או לא עומדים בדרישות הרגולטוריות צפויים לקנסות משמעותיים.
זה הזמן של עסקים להגביר את מאמצי אבטחת המידע שלהם.
שיפור המודעות של הצוות ובעלי העניין חיוני כדי להפחית את הסיכון לתקריות שנגרמו כתוצאה מטעויות אנוש. בניית ISMS חזק המתאים לדרישות ISO 27001 תוסיף שכבות הגנה נוספות. הסמכת ISO 27001 משפרת את החוסן הארגוני ומספקת יתרון תחרותי על פני עסקים שפחות מתמקדים במצב האבטחה שלהם.
-
מקורות מידע:
- נתוני ISMS.online State of Information Security 2024, מחקר שנערך על ידי חברת מחקרי שוק עצמאית Censuswide.
- נתוני הונאה ב-2023 מבקשת חופש המידע FOI2024/00990, משטרת עיריית לונדון, התקבלו ב-25/7/2024.
- נתוני הונאת פעולה לשנת 2024 מלוח המחוונים של הלשכה הלאומית למודיעין הונאה, נאספו ב-25/7/24.
*נתונים אלה אינם כוללים מידע ממשטרת סקוטלנד, האחראית על איסוף ואכיפה של פעילות הונאה המשפיעה על קורבנות סקוטלנד. הנתונים שסופקו על ידי Action Fraud מתייחסים לפעילות הונאה באנגליה, וויילס, צפון אירלנד ופעילות הונאה שדווחה ישירות ל- Action Fraud על ידי ארגונים ואנשים סקוטיים.
**הפסד ממוצע לדוח מחושב על ידי חלוקת הפסד כספי לפי נפח הדוח
***קנס ממוצע מחושב על ידי חלוקת הקנס הממוצע במספר המשיבים
[1] https://assets.publishing.service.gov.uk/media/645b7b87479612000fc29318/nfib-fraud-april-2023.pdf
