Detailhandel i fare: Toptrusler, som detailhandlere står over for denne feriesæson

Forretningssikkerhed

Selvom det kan være for sent at indføre engrosændringer til dine sikkerhedspolitikker, skader det ikke at tage et nyt kig på, hvor de største trusler er, og hvilke bedste praksisser, der kan hjælpe med at neutralisere dem

Phil Muncaster

November 28 2023  •  , 6 min. Læs

Juleindkøbssæsonen er for alvor begyndt. Mens detailhandlere er fokuseret på at jockey for et anslået salg på 1.5 billioner dollars i år (og det er kun for USA), kan deres hårde arbejde blive til intet, hvis der ikke er lagt nok opmærksomhed på cybersikkerhed. 

Hvorfor? Fordi dette er den bedste tid og den værste tid for detail-IT-teams. Den travleste tid på året for kunder er også en magnet for cyberkriminelle. Og selvom det måske er for sent på dette tidspunkt at indføre engrosændringer til dine sikkerhedspolitikker, skader det ikke at tage et nyt kig på, hvor de største trusler er, og hvilke bedste praksisser, der kan hjælpe med at neutralisere dem.

Hvorfor detailhandel, hvorfor nu?

Detailhandlere har længe været udpeget til særlig behandling af cyberkriminelle. Og årets travleste shoppingperiode har længe været en gylden mulighed for at slå til. Men hvorfor?

• Detailhandlere har meget indtægtsgivende personlige og finansielle oplysninger om deres kunder. Tænk bare på alle de kortoplysninger. Det er ingen overraskelse, at alle (100%) af de detaildatabrud analyseret af Tele Danmark Mobil i løbet af det seneste år været drevet af et økonomisk motiv.
• Juleindkøbssæsonen er den vigtigste tid på året for detailhandlere set ud fra et indtægtsperspektiv. Men det betyder, at de er mere udsatte for cybertrusler som ransomware eller distribueret denial-of-service (DDoS), designet til at afpresse penge ved at nægte service. Alternativt kan konkurrenter lancere DDoS-angreb for at nægte deres rivaler vital skik og indtjening.
• At være den travleste tid på året betyder, at medarbejderne, især udstrakte it-teams, er mere fokuserede på at støtte forretningen med at få så meget indtjening som muligt end at passe på cybertrusler. De kan endda justere interne svindelfiltre for at tillade større køb at blive godkendt uden undersøgelse.
• Detailhandlere er i stigende grad afhængige af digitale systemer til at opbygge omni-channel-handelsoplevelser, herunder cloud-baseret forretningssoftware, in-store IoT-enheder og kundevendte mobilapplikationer. Ved at gøre det udvider de (ofte ubevidst) den potentielle angrebsflade.

Lad os ikke glemme, at en af ​​de verdens største nogensinde registrerede databrud fandt sted og blev annonceret i feriesæsonen i 2013, hvor hackere stjal 110 millioner kunderegistre fra den amerikanske forhandler Target.

Hvad er de største cybertrusler mod detailhandlere i denne feriesæson?

Ikke alene skal detailhandlere forsvare en større angrebsoverflade, skal de også kæmpe med et stadig større udvalg af taktikker, teknikker og procedurer (TTP'er) fra et bestemt sæt af modstandere. Angribernes mål er enten at stjæle kunde- og medarbejderdata, afpresse/forstyrre din virksomhed gennem DDoS, begå bedrageri eller bruge bots for at opnå en konkurrencefordel. Her er nogle af de vigtigste detail-cybertrusler:

• Databrænkelser kunne stamme fra stjålne/knækkede/phishede medarbejderlegitimationsoplysninger eller sårbarhedsudnyttelse, især i webapplikationer. Resultatet er store økonomiske og omdømmemæssige skader, som kan afspore vækstplaner og omsætning.
• Digital skimming (dvs. Magecart-angreb) opstår, når trusselsaktører udnytter sårbarheder til at indsætte skimming-kode direkte på dine betalingssider eller via en tredjeparts softwareleverandør/widget. Sådanne angreb er ofte svære at få øje på, hvilket betyder, at de kan skade omdømmet. Disse udgjorde 18% af detaildatabrud sidste år, ifølge Tele Danmark Mobil.  
• ransomware er en af ​​de største trusler for detailhandlere, og i løbet af denne travle sæson kan trusselsaktører øge deres angreb i håb om, at flere virksomheder er parate til at betale for at få deres data tilbage og dekrypteret. Især små og mellemstore virksomheder er i trådkorset, da deres sikkerhedskontrol kan være mindre effektiv.
• DDoS er stadig en populær måde at afpresse og/eller forstyrre forhandlere. Sidste år, sektoren var i den modtagende ende af næsten en femtedel (17 %) af disse angreb – en stigning på 53 % år-til-år (YoY), med toppe set under Black Friday.
• Supply chain angreb kan være målrettet en digital leverandør såsom et softwarefirma eller endda et open source-lager. Eller de kan være rettet mod mere traditionelle virksomheder inden for professionelle eller endda rengøringstjenester. Målet brud blev muliggjort hvornår hackere stjal netværksoplysninger fra en HVAC-leverandør.
• Kontoovertagelser (ATO'er) er typisk aktiveret af stjålne, phishede eller knækkede legitimationsoplysninger. Det kan være starten på et større databrudsforsøg, eller det kan være rettet mod kunder, i credential stuffing eller andre brute force-kampagner. Typisk bruges ondsindede bots her.
• Andre dårlige botangreb omfatter skalpering (hvor rivaler køber efterspurgte varer til videresalg til en højere pris), betalings-/gavekortsvindel og prisskrabning (hvilket gør det muligt for konkurrenterne at underbyde dine priser). Ondsindede bots omfatter omkring 30% af al internettrafik i dag, med to tredjedele af britiske websteder ude af stand til at blokere selv simple angreb. Der var en anslået stigning på 50 % i dårlig bot-trafik i feriesæsonen 2022.
• API'er (Application Programming Interface) er kernen i detailhandelens digitale transformation, hvilket muliggør mere forbundne og sømløse kundeoplevelser. Men sårbarheder og fejlkonfigurationer kan også give en nem vej for hackere til kundedata.

Hvordan detailhandlere kan forsvare sig mod cyberrisici

Som svar er detailhandlere nødt til at balancere sikkerhed med medarbejdernes produktivitet og forretningsvækst. Det er ikke altid en nem beregning, især med de høje leveomkostninger, der lægger et stadigt større pres på profitsøgning. Men det kan lade sig gøre. Her er 10 bedste praksis at overveje:

• Regelmæssig træning af personalet: Dette burde være en selvfølge. Sørg for din medarbejdere kan spotte selv sofistikerede phishing-angreb og du har en praktisk sidste forsvarslinje på plads.
• Datarevision: Forstå, hvad du har, hvor det er opbevaret, hvor det flyder, og hvordan det er beskyttet. Dette bør under alle omstændigheder gøres som en del af GDPR-overholdelse.
• Stærk datakryptering: Når du har opdaget og klassificeret dine data, skal du anvende stærk kryptering på de mest følsomme oplysninger. Dette bør ske løbende.
• Risikobaseret programrettelseshåndtering: Betydningen af ​​softwarepatching kan ikke undervurderes. Men det store antal nye sårbarheder, der offentliggøres hvert år, kan være overvældende. Automatiserede risikobaserede systemer skal være med til at strømline processen og prioritere de vigtigste systemer og sårbarheder.
• Flerlags beskyttelsessikkerhed: Overvej anti-malware og andre muligheder på en server, et slutpunkt, e-mail-netværk og cloud-lag som en forebyggende barriere for cybertrusler.
• XDR: For trusler, der formår at omgå forebyggende kontroller, skal du sikre dig, at der er en stærk udvidet detektion og respons (XDR), der arbejder på tværs af flere lag, herunder for at understøtte trusselsjagt og hændelsesrespons.
  
• Sikkerhed i forsyningskæden: Audit alle leverandører, inklusive digitale partnere og softwareleverandører, for at sikre, at deres sikkerhedsposition er i overensstemmelse med din risikovillighed.
• Stærk adgangskontrol: Adgangskodeadministratorer til stærke, unikke adgangskoder og multifaktorautentificering er et must for alle følsomme konti. Sammen med XDR, kryptering, netværksadskillelse og forebyggende kontroller danner de grundlaget for en Zero Trust sikkerhedstilgang.
• Disaster recovery/forretningskontinuitetsplanlægning: Gennemgang af planer vil hjælpe med at sikre, at de rigtige forretningsprocesser og teknologiske værktøjer er på plads.
• Hændelsesberedskabsplanlægning: Sørg for, at dine planer er vandtætte og testes regelmæssigt, så alle interessenter ved, hvad de skal gøre i et værst tænkeligt scenarie, og ingen tid bliver spildt på at reagere på og begrænse en trussel.

For langt de fleste, hvis ikke alle, forhandlere vil PCI DSS-overholdelse også være et væsentligt krav for erhvervslivet. Betragt dette som en mulighed snarere end en byrde. Dens detaljerede krav vil hjælpe dig med at opbygge en mere moden sikkerhedsstilling og minimere risikoeksponering. Teknologier som stærk kryptering kan også bidrage til at reducere omkostningerne og den administrative byrde ved overholdelse. God ferie.