小型企業面臨的三大網絡安全威脅
在充斥著極其復雜的網絡攻擊的網絡世界中——包括對軟件供應鏈的有組織的攻擊、國家指揮的對未發現的漏洞的利用以及對人工智能 (AI) 的新型惡意使用——小型企業被迫優先考慮不同類型的網絡攻擊：能夠成功突破的類型。
由于缺乏充足的IT預算或人員配備齊全的網絡安全部門，小型企業通常依賴自身少量的員工（包括實際上沒有員工的個體經營者）來保障網絡安全。這意味著，這些企業在網絡安全方面最擔心的，往往是最有可能對他們不利的事情。
以下是目前小型企業面臨的三大網絡安全威脅。這些威脅聽起來可能很基礎，甚至很粗暴，但它們之所以成為最大的威脅，正是因為它們非常有效。
1. 網絡釣魚
在網絡釣魚詐騙中，網絡犯罪分子誘騙個人和企業交出敏感信息，例如信用卡號或重要在線賬戶的登錄詳細信息。
網絡犯罪分子會通過發送偽裝成大型企業（例如 Slack、Uber、FedEx 和 Google）合法通信的消息（例如電子郵件和短信）來實現這一目的。這些消息通常會警告收件人其帳戶存在問題，例如需要更新密碼、需要登錄的政策變更或需要審批的延遲包裹。
然而，當受害者點擊這些惡意郵件中的鏈接時，他們會被帶到一個看似真實的網站，但該網站完全由網絡犯罪分子控制。在相似的配色方案、公司徽標和熟悉的布局的誘惑下，受害者通過輸入用戶名和密碼“登錄”賬戶。實際上，這些用戶名和密碼會被直接發送給網站另一端的網絡犯罪分子。
在網絡釣魚攻擊中，用戶的賬戶從來不會真正出現問題，公司也從來不會真正要求用戶提供信息。相反，整個來回的攻擊過程都只是一場騙局。
網絡釣魚雖然破壞力極大，但其更復雜的威脅在于其適應性。早期的網絡釣魚詐騙幾乎完全通過電子郵件進行，而現代的網絡釣魚詐騙則可以通過惡意網站、短信、社交媒體，甚至移動應用程序下載來感染受害者。
根據最新的《2025 年惡意軟件狀況報告》，Malwarebytes 在 2024 年發現了超過 22,800 個 Android 釣魚應用 。這些 Android 應用偽裝成 TikTok、Spotify 和 WhatsApp 等應用，在要求受害者登錄時誘騙受害者交出相關的用戶名和密碼。
可以理解的是，一些小企業主可能會低估丟失 Spotify 和 TikTok 等消費工具登錄憑證的威脅。但網絡釣魚的威脅因網絡安全的另一個巨大問題而加劇，那就是太多個人和企業在多個賬戶上重復使用密碼。這意味著，在網絡釣魚詐騙中被成功竊取的電子郵件登錄憑證，也可能被用來訪問小企業的財務賬戶、工資服務，甚至稅務信息。
此外，如果黑客利用非法訪問竊取客戶數據，那么小企業可能還需要根據其所在州的規定承擔發送數據泄露通知的費用。
如何保護業務：
- 為每個在線帳戶使用唯一且強大的密碼，并使用密碼管理器存儲和創建這些密碼
- 在所有重要的商業賬戶上啟用“多因素身份驗證”，以便竊取密碼的黑客無法僅通過用戶名和密碼訪問賬戶
- 不要點擊來自未知發件人的鏈接
- 如果有人通過電子郵件或在線消息要求您輸入登錄信息，請不要在電子郵件或任何指向您的鏈接中輸入您的登錄信息。請直接訪問該網站。
2. 社交媒體賬戶接管
社交媒體不僅是推廣許多小型企業的重要工具，它通常還可以成為整個企業的重要工具。
YouTube 視頻創作者、Twitch 主播以及 TikTok 和 Instagram 上的生活方式博主實際上都是小企業主。他們生產產品，并像許多在線企業一樣通過廣告和贊助合作協議賺取收入。
如果任何社交媒體企業主因網絡釣魚詐騙或數據泄露而丟失了登錄憑證，他們就可能會失去對整個業務的訪問權限。
2023年，著名YouTube科技博主Linus Sebastian旗下公司Linus Media Group旗下的三個YouTube頻道遭到黑客攻擊。黑客劫持了這些頻道，傳播加密貨幣騙局，同時刪除了該集團的一些舊視頻。此次攻擊與2022年發生的一起YouTube賬戶黑客事件頗為相似，當時黑客利用了2018年蘋果首席執行官蒂姆·庫克的一段采訪視頻，誘騙觀眾參與另一起加密貨幣騙局。
這兩起事件都揭示了世界各地小企業面臨的真正威脅。
社交媒體賬戶被黑客入侵不僅對內容創作者構成風險，對任何擁有合法在線受眾的企業也構成風險。一旦詐騙者控制了任何企業的社交媒體賬戶，他們就可以以企業的名義向用戶發送欺詐信息，并推廣在線詐騙，這可能會在未來數年損害企業的聲譽。黑客甚至可能在恢復訪問權限之前竊取敏感信息。
雖然社交媒體黑客攻擊通常是成功的網絡釣魚攻擊的副產品，但網絡犯罪分子也可以通過單獨的數據泄露來非法訪問社交媒體帳戶。
黑客經常在暗網上從先前的數據泄露事件中購買用戶名和密碼。然后，他們使用這些登錄憑證登錄同一所有者的多個在線賬戶——例如，將一個被盜領英賬戶的用戶名和密碼輸入到 QuickBooks、Shopify 和 Hubspot 的用戶名和密碼字段中。當個人和企業在不同賬戶之間重復使用密碼時，黑客就找到了輕松入侵的途徑。
如何保護業務：
- 為每個帳戶使用唯一且強大的密碼，并使用密碼管理器存儲和創建這些密碼
- 在所有重要的商業賬戶上啟用“多因素身份驗證”，以便竊取密碼的黑客無法僅通過用戶名和密碼訪問賬戶
- 拒絕點擊來自未知發件人的鏈接，避免網絡釣魚攻擊
- 請勿下載任何來自未知發件人或意外郵件的附件。這些附件可能包含竊取密碼、數據和多因素身份驗證碼的惡意軟件。
3.勒索軟件
勒索軟件不僅僅是一種網絡威脅，它還是一種生存威脅，威脅著鎖定計算機系統、刪除重要數據，并可能浪費數十萬美元的恢復資金。
但由于大多數勒索軟件新聞報道都集中在遭受破壞性攻擊的大型數十億美元公司上，許多精品企業可能會認為勒索軟件團伙永遠不會理會像他們這樣的小組織。
實際上，勒索軟件團伙并不關心受害者的規模、預算或資源，因為勒索軟件本身已經變得越來越容易擴展和部署。
現代勒索軟件團伙采用“勒索軟件即服務”模式運作，勒索軟件開發者將惡意軟件出租給“附屬機構”，如果這些附屬機構成功發起攻擊，就會將一小部分不義之財返還給勒索軟件的頂層開發者。LockBit 曾是歷史上最活躍的勒索軟件團伙，其旗下至少有 194 個附屬機構為其從事骯臟勾當。
雖然 LockBit 最常攻擊的是大型企業集團和政府，但另一個名為 Phobos 的勒索軟件即服務組織卻非常樂意攻擊較小的組織。
2024年，美國司法部指控一名名叫葉夫根尼·普季辛（Evgenii Ptitsyn）的俄羅斯公民涉嫌參與運營火衛一（Phobos）項目。起訴書披露，該勒索軟件團伙的一名關聯人員涉嫌勒索馬里蘭州一家醫療保健機構僅2300美元。起訴書中提到的其他受害者包括亞利桑那州一家營銷和數據分析公司、康涅狄格州一所公立學校系統以及俄亥俄州一家汽車公司。
根據Malwarebytes業務部門ThreatDown 分析的數據，這些規模較小的受害者是 Phobos的主要收入來源。與其他勒索軟件團伙在2023年向每位受害者索要高達100萬美元甚至更多贖金的勒索軟件團伙不同，Phobos 的運營商平均向受害者索要1,719美元，索要金額中位數僅為300美元。
如何保護業務：
- 阻止常見的入侵方式。 修補面向互聯網的軟件中已知的漏洞，并禁用或強化遠程工作工具（如 RDP 端口和 VPN）的登錄憑據。
- 預防入侵，阻止惡意加密。 在威脅滲透或感染終端之前，盡早阻止它們。使用 始終在線的網絡安全軟件 ，可以防御漏洞利用程序和用于傳播勒索軟件的惡意軟件。
- 創建異地離線備份。 將備份保存在異地離線狀態，防止攻擊者獲取。定期測試備份，確保能夠快速恢復關鍵業務功能。
- 不要遭受二次攻擊。 隔離病毒爆發并阻止首次攻擊后，必須清除攻擊者的所有痕跡，包括其惡意軟件、工具以及入侵方法，以避免再次遭受攻擊。
