Kuinka paljon tietoverkkorikollisuus todella maksaa Yhdistyneen kuningaskunnan yrityksille?

Kyberrikollisuus on jatkuva uhka Iso-Britannian yrityksille. Koska monet organisaatiot ovat riippuvaisia ​​digitaalisesta toimitusketjusta ja käyttävät pilvipohjaisia ​​alustoja tietojensa tallentamiseen, uhkatoimijoiden mahdollisuudet hyödyntää haavoittuvuuksia kasvavat, ja yritykset pyrkivät pysymään perässä. 

Itse asiassa 100 % globaalistamme Tietoturvan tilaraportti vastaajat – yli 1,500 12 tietoturva-ammattilaista – kertovat, että heidän organisaationsa on kokenut kyberturvallisuus- tai tietoturvaloukkauksen viimeisen 99 kuukauden aikana. Näistä tapauksista mahdollisesti aiheutuvien taloudellisten menetysten lisäksi XNUMX prosenttia Yhdistyneessä kuningaskunnassa olevista vastaajista sai sakkoja tietosuojaloukkauksesta tai tietosuojasääntöjen rikkomisesta. 

Christie Rae tarkastelee Action Fraudille raportoituja tietoja ja State of Information Security -raporttiamme käyttämällä tietoverkkorikollisuuden taloudellisia vaikutuksia Yhdistyneen kuningaskunnan* yrityksiin ja kuinka organisaatiot voivat parantaa tietoturvaansa.

Viisi suurinta tietoverkkorikollisuutta, jotka vaikuttavat Yhdistyneen kuningaskunnan yrityksiin

Action Fraud listaa useita erilaisia ​​rikoksia kyberriippuvaisen rikollisuuden kategoriaan. Nämä ovat:

• NFIB50A – Tietokonevirus/haittaohjelma/vakoiluohjelma
• NFIB51A – Palvelunestohyökkäys
• NFIB51B – Palvelunestohyökkäys – Kiristys
• NFIB52A – Hakkerointi – Palvelin
• NFIB52B – Hakkerointi – Henkilökohtainen
• NFIB52C – Hakkerointi – Sosiaalinen media ja sähköposti
• NFIB52D – Hakkerointi – PBX/Palvelu
• NFIB52E – Hakkerointi – Kiristys.

Alla on viisi suurinta Yhdistyneen kuningaskunnan organisaatioihin vaikuttavaa tietoverkkorikollisuutta.

1. NFIB50A – tietokonevirus / haittaohjelma / vakoiluohjelma

National Fraud Intelligence Bureau (NFIB) rikoskuvaus[1]: Rikokset tulee kirjata tähän kohtaan siihen asti, kunnes rikoksentekijä todella käyttää haittaohjelmaa. Kun rikoksentekijä käyttää haittaohjelmaa, siitä tulee tietoinen kohdistus kyseiseen tietokoneeseen.  

Jos haittaohjelmia käytetään tietojen saamiseksi petosten tai muiden tietokoneiden väärinkäyttörikosten tekemiseen, petos tai tietokoneen väärinkäyttörikokset ovat päärikos, ja ne on kirjattava. Haittaohjelmaa on käytetty mahdollistamaan toisen rikoksen tekeminen, eikä rikosta tule kirjata tähän kohtaan, jos siitä ilmoitetaan samanaikaisesti.

Esimerkki: herra A raportoi Action Fraudille, että hän on napsauttanut linkkiä, joka on ladannut ohjelman. Hän on ajanut vakoiluohjelmien torjuntaohjelmaa, ja hänelle on kerrottu, että ohjelma on avainten kirjausohjelma ja että se on poistettu onnistuneesti. Yksi rikos tietokonemateriaalin luvattomasta muuttamisesta (luokka NFIB50A). Viikkoa myöhemmin hän ottaa yhteyttä Action Fraudiin ilmoittaakseen, että tänään hänen verkkopankkitiliinsä on käytetty laittomasti ja siltä on varastettu 2000 5 puntaa muuttamalla pysyvää maksumääräystä asuntolainansa maksamiseksi. Yksi ylimääräinen valtuutuspetos (NFIBXNUMXD) on kirjattava.

Raportin kokonaismäärä: 274

Taloudellinen kokonaistappio: £908,196

Keskimääräinen tappio raporttia kohti: £3,315

Tammikuun 2023 ja kesäkuun 2024 välisenä aikana Yhdistyneen kuningaskunnan yritykset menettivät yli 900,000 274 puntaa tietokoneviruksille, haittaohjelmille tai vakoiluohjelmille vain 3,300 raportissa – mikä tarkoittaa, että yksi haittaohjelmakohtaus maksaa yrityksille keskimäärin yli 35 12 puntaa. Haittaohjelmat olivat suurin raportoitu kyberturvallisuustapaus tietoturvaraportissamme, ja yli kolmannes (XNUMX %) organisaatioista on kokenut haittaohjelmatapauksen viimeisen XNUMX kuukauden aikana.

2. NFIB52C – Hakkerointi – sosiaalinen media ja sähköposti

NFIB-rikoskuvaus: Tämä rikos sisältää kaikenlaiset yksittäiset sähköpostitilit ja kaikenlaiset yksilölliset sosiaaliset mediat, kuten X ja Facebook. Se sisältää henkilökohtaiset tilit sekä yritysten tai organisaatioiden henkilökohtaiset tilit. Tämän petoksen ei pitäisi katsoa rajoittuvan pöytätietokoneisiin tai kannettaviin tietokoneisiin. Se voi sisältää minkä tahansa laitteen, joka käyttää online-käyttöohjelmistoa, esimerkiksi pelikonsolit ja älypuhelimet.

Raportin kokonaismäärä: 1,944

Taloudellinen kokonaistappio: £783,704

Keskimääräinen tappio raporttia kohti: £403

Sosiaalinen media ja sähköpostin hakkerointi ovat maksaneet yrityksille yli 780,000 18 puntaa viimeisen 32 kuukauden aikana. Tietoturvaraporttimme totesi, että sosiaalinen manipulointi oli toiseksi yleisin kyberturvallisuushäiriö, jonka koki XNUMX % vastaajista.

3. NFIB52E – Hakkerointi – Kiristys

NFIB-rikoskuvaus: Tämä tapahtuu silloin, kun tietokoneiden hakkerointiin tai hakkeroinnin uhkaan liittyy perusteeton kysyntä. Kiristys voi liittyä mihin tahansa NFIB52 Computer Hacking -luokan NFIB-luokkaan. 

Esimerkki: ABC Ltd raportoi, että he ovat saaneet 100,000 52 punnan maksuvaatimuksen, muuten kopio heidän uuden tietokonepelinsä koodista julkaistaan ​​internetissä. He ovat äärimmäisen huolissaan, koska he saivat viime viikolla muistitikun, johon osa koodista oli kopioitu heidän palvelimeltaan. Yksi rikostietokone Hakkerointi (kiristys) (luokka NFIBXNUMXE).

Raportin kokonaismäärä: 411

Taloudellinen kokonaistappio: £401,923

Keskimääräinen tappio raporttia kohti: £978

Raporttimme mukaan viimeisten 12 kuukauden aikana 29 % organisaatioista – lähes joka kolmas – on kokenut kiristysohjelmahyökkäyksen. Hakkerointikiristystapaukset ovat aiheuttaneet yli 400,000 12 punnan tappioita Yhdistyneen kuningaskunnan yrityksille viimeisen 180,000 kuukauden aikana, ja 2024 XNUMX puntaa näistä tappioista tehtiin vuonna XNUMX huolimatta huomattavasti harvemmista raporteista.

4. NFIB52B – Hakkerointi – Henkilökohtainen

NFIB-rikoskuvaus: Tietokonemateriaalin luvaton käyttö tarkoituksenaan tehdä uusia rikoksia tai edistää niiden tekemistä. Jos hakkerin toimet ovat vain valmistelevia eikä minkään muun petosrikoksen yhteydessä ole tehty aineellista rikosta, rikos tulee kirjata tähän kohtaan.

Raportin määrä: 199

Rahallinen häviö: £98,565 

Keskimääräinen tappio raporttia kohti: £495

Organisaatiot ovat menettäneet lähes 100,000 35 puntaa henkilökohtaisten laitteiden, kuten kannettavan tietokoneen tai matkapuhelimen, hakkeroinnin vuoksi. Vahvat työlaitteiden turvatoimenpiteet sekä työntekijöiden koulutus ja tietoisuus ovat avainasemassa tämäntyyppisten hyökkäysten torjunnassa. XNUMX % organisaatioista sanoi, että heidän työntekijänsä olivat käyttäneet henkilökohtaisia ​​laitteita työtarkoituksiin ilman asianmukaisia ​​turvatoimia raportissamme, mikä tekee tästä työntekijöiden suurimman kyberturvallisuusvirheen.

5. NFIB52A-hakkerointi – palvelin

NFIB-rikoskuvaus: Jotta rikokset voidaan kirjata tähän osioon, muokattujen tiedostojen tai palveluiden on oltava palvelimella eikä tietokoneen paikallisella kiintolevyllä. 

Esimerkki: Työntekijä jättää pöytätietokoneensa kirjautuneena, kun hän lähtee toimistosta. Tämän jälkeen kollega pääsee käsiksi palvelimella oleviin työrekistereihinsä ja muuttaa joitain tiedostoonsa tallennettuja tietoja käyttämällä kirjautuneena tietokonetta. Yksi hakkerointipalvelimen rikos (luokka NFIB52A). 

Raportin kokonaismäärä: 398

Rahallinen häviö: £0

Keskimääräinen tappio raporttia kohti: £0

Organisaatiot eivät ole aiheuttaneet taloudellisia tappioita palvelimien hakkerointirikoksista viimeisen 18 kuukauden aikana. Tämä johtuu kuitenkin todennäköisesti NFIB:n rikosten kirjaamissäännöistä, joiden mukaan "jos luvaton pääsy on suoraan mahdollistanut toisen petosrikoksen tekemisen, päärikos on toinen petosrikos". 

Yritysten taloudelliset kokonaistappiot tietoverkkoriippuvaisten rikosten vuoksi

Tammikuun 2023 ja kesäkuun 2024 välisenä aikana yritykset ilmoittivat Action Fraudille lähes 3,500 2,234,788 tietoverkkorikoksesta, joiden taloudelliset menetykset olivat 2,377 1,367,477 12 puntaa. Raporteista XNUMX XNUMX ja tappioista XNUMX XNUMX XNUMX puntaa tehtiin viimeisen XNUMX kuukauden aikana. 

Tammikuussa 2023 aiheutui suurimmat taloudelliset tappiot: 179 ilmoitusta, 580,734 3,244 puntaa taloudellisia tappioita ja 2023 191 punnan arvioitu keskimääräinen tappio raporttia kohden. Kesäkuussa XNUMX taloudelliset tappiot olivat pienimmät, XNUMX ilmoitusta, mutta ei taloudellisia tappioita. 

Alla oleva taulukko näyttää yritysten ja yksityishenkilöiden ilmoittamien kyberriippuvaisten rikosten ja taloudellisten menetysten kokonaismäärän tammikuun 2023 ja kesäkuun 2024 välisenä aikana. Vain 5.7 % ilmoitetuista kyberriippuvaisista rikoksista oli yritysten ilmoittamia, mutta ne muodostivat 30 % kokonaistaloudellisia tappioita.

Kuinka paljon Ison-Britannian keskimääräinen yritys menettää vuodessa?

Tietoturvaraporttimme mukaan 99 % Yhdistyneen kuningaskunnan yrityksistä on saanut sakkoja tietoturvaloukkauksista tai tietosuojasääntöjen rikkomisesta viimeisten 12 kuukauden aikana. Vastaajat paljastivat organisaatioidensa saamien sakkojen kokonaismäärän:

Yritysten saamien sakkojen keskimääräinen kokonaissumma on 366,475 2023 puntaa***, kun taas organisaatioiden yhdestä kyberriippuvaisesta rikosilmoituksesta Action Fraudille aiheutuneet keskimääräiset taloudelliset tappiot samalla ajanjaksolla (huhtikuu 2024–maaliskuu 538.37) olivat 367,013 puntaa. Organisaatiot olisivat voineet menettää jopa XNUMX XNUMX puntaa yhdestä tapauksesta. 

Kyberhyökkäysten estäminen ISO 27001 -standardin avulla

Action Fraudille raportoidut yleisimmät kyberriippuvaiset rikokset osoittavat, että inhimillisten virheiden hyödyntäminen on keskeinen kohde uhkatekijöille. Vastauksena organisaatiot keskittyvät työntekijöiden tietoturvakoulutukseen. Lähes puolet (45 %) tietoturvaraporttimme vastaajista sanoo, että heidän organisaationsa on panostanut enemmän työntekijöiden koulutukseen ja tietoisuuteen, ja 35 % sanoo, että oppimisen hallinnan alustat ovat osoittautuneet tehokkaimmaksi menetelmäksi. 

Tietoturvastandardien, kuten ISO 27001, mukainen sertifiointi auttaa yrityksiä ottamaan perusteellisen lähestymistavan turvallisuuden vahvistamiseen, mikä vähentää kybervälikohtausten riskiä. ISO 27001 -sertifikaatin saavuttamiseksi yritysten on rakennettava, ylläpidettävä ja jatkuvasti parannettava ISO 27001 -yhteensopiva tietoturvan hallintajärjestelmä (ISMS) ja suoritettava onnistuneesti ulkoinen auditointi. 

Riskienhallinta

Jatkuva tietoturvariskien hallinta on vaatimus ISO 27001 -standardin kohdassa 6.1, toimenpiteet riskien ja mahdollisuuksien käsittelemiseksi. Organisaatiosi tulee tunnistaa riskit, jotka liittyvät kuhunkin ISMS:n piiriin kuuluvaan tietoresursseihin, ja valita kullekin riskille asianmukainen riskikäsittely – käsitellä, siirtää, sietää tai lopettaa. 

ISO 27001 -standardin liitteessä A esitetään 93 valvontaa, jotka organisaatiosi on otettava huomioon riskienhallintaa harjoittaessaan, ja päätökselle soveltaa valvontaa tai olla soveltamatta sitä on perusteltava soveltamislausunnossa (SoA). Tämä perusteellinen lähestymistapa riskienhallintaan ja hoitoon mahdollistaa sen, että organisaatiosi voi tunnistaa, hoitaa ja lieventää riskejä koko niiden elinkaaren ajan, mikä vähentää vaaratilanteen todennäköisyyttä ja vaikutusta, jos tapahtuma sattuu.

Jatkuva parantaminen

ISO 27001 -standardi edistää tietoturvan jatkuvaa parantamista, mukaan lukien jatkuvaa koko organisaation laajuista tietoturvatietoisuutta. Tietoisuus on avainasemassa ISO 27001 -standardin noudattamisessa; Liite A.6.3 tietoturva- ja yksityisyystietoisuus, koulutus ja koulutus on yksi standardin 93 valvonnasta. Valvonta varmistaa työntekijöiden tietoisuuden ja tietoturvavastuunsa täyttämisen. 

Ota kantaa kalliita verkkorikollisuutta vastaan

Action Fraud -tilastot ja ISMS.onlinen tietoturvaraportti osoittavat, että tietoverkkorikollisuus on jatkuva ja kasvava haaste Yhdistyneen kuningaskunnan yrityksille. Raportit kyberriippuvaisista rikoksista lisääntyvät vuosi vuodelta ja organisaatiot, jotka joutuvat tietomurtojen uhriksi tai eivät noudata säännösten vaatimuksia, saavat huomattavia sakkoja. 

Nyt on yritysten aika tehostaa tietoturvatoimiaan. 

Henkilöstön ja sidosryhmien tietoisuuden lisääminen on elintärkeää inhimillisistä virheistä johtuvien tapaturmien riskin vähentämiseksi. Kestävän, ISO 27001 -standardin vaatimusten mukaisen ISMS:n rakentaminen lisää puolustustasoja. ISO 27001 -sertifiointi parantaa organisaation kestävyyttä ja tarjoaa kilpailuetua yrityksiin nähden, jotka keskittyvät vähemmän turvallisuusasenteisiinsa. 

-

Tietolähteet: 

• ISMS.online State of Information Security 2024 -tiedot, riippumattoman markkinatutkimusyrityksen Censuswiden tekemä tutkimus. 
• 2023 Action Fraud Data Freedom of Information -pyynnöstä FOI2024/00990, City of London Police, vastaanotettu 25. 
• 2024 Action Fraud -tiedot National Fraud Intelligence Bureau Dashboardista, kerätty 25.

*Nämä tiedot eivät sisällä tietoja Police Scotlandista, joka on vastuussa skotlantilaisia ​​uhreja koskevien petollisten toimien keräämisestä ja täytäntöönpanosta. Action Fraudin toimittamat tiedot koskevat petollista toimintaa Englannissa, Walesissa ja Pohjois-Irlannissa sekä petollista toimintaa, josta skotlantilaiset organisaatiot ja yksityishenkilöt ovat ilmoittaneet suoraan Action Fraudille.

**Keskimääräinen tappio per raportti lasketaan jakamalla taloudellinen tappio raportin määrällä

***Keskimääräinen sakko lasketaan jakamalla keskimääräinen sakko vastaajien määrällä

[1] https://assets.publishing.service.gov.uk/media/645b7b87479612000fc29318/nfib-fraud-april-2023.pdf