Miért célpontok a 20–100 fős vállalkozások a zsarolóvírus-támadóknál?

„Velünk ez úgysem történhet meg”

A zsarolóvírus-támadások (ransomware) nem a nagyvállalatok kizárólagos problémája – 2026-ban éppen fordítva igaz: a 20–100 fős vállalkozások az egyik leggyakrabban megcélzott méretkategória, mert elegendően értékes adatokkal rendelkeznek ahhoz, hogy megérje megtámadni őket, ugyanakkor jellemzően jóval gyengébb védelemmel, mint a nagyobb szervezetek. A „velünk ez úgysem történhet meg” gondolkodásmód az egyik legsúlyosabb kiberbiztonsági kockázati tényező, amellyel az IWS (Instant Web Solution Kft.) rendszeresen találkozik az ügyfélfelmérések során. A ransomware-csoportok automatizált szkennelési eszközökkel térképezik fel a sebezhető rendszereket – és nem válogatnak méret szerint, hanem sebezhetőség szerint. Egy frissítetlen szerver, egy nyitva hagyott RDP-port, egy gyenge jelszóval védett VPN-fiók elegendő belépési pont ahhoz, hogy a titkosítási folyamat meginduljon. A helyreállítás átlagos költsége – beleértve az állásidőt, az adat-visszaállítást, a jogi és kommunikációs terheket – a hazai kis- és középvállalkozásoknál az esetek jelentős részében meghaladja az éves IT-biztonsági keret többszörösét. A megelőzés nem igényel nagyvállalati büdzsét: a megfelelően konfigurált, rendszeresen karbantartott és folyamatosan felügyelt IT-infrastruktúra a zsarolóvírus-támadások döntő többségét a belépési ponton megállítja.

A zsarolóvírus elleni védekezés 6 legfontosabb pillére 20–100 fős vállalkozásoknál:

1. Naponta készített, offsite tárolt és rendszeresen tesztelt biztonsági mentés – ez az utolsó védelmi vonal
2. Rendszeres patch-kezelési ciklus – a legtöbb sikeres ransomware-betörés ismert, javítatlan sebezhetőségen keresztül zajlik
3. MFA kötelező érvényesítése minden külső hozzáférési ponton – VPN, RDP, Microsoft 365
4. Hálózati szegmentáció és a laterális mozgás korlátozása – a titkosítás terjedési sebessége szegmentált hálózaton töredéke
5. Végpontvédelmi megoldás (EDR) minden munkaállomáson és szerveren – nem elegendő az alap antivírus
6. Weboldal és külső digitális felületek rendszeres frissítése és biztonsági karbantartása – ezek is belépési pontok

A zsarolóvírus-védekezés tervezésekor figyelembe veendő szempontok:

• A ransomware-csoportok nem célzottan választják ki a kis cégeket – automatizált, sebezhetőség-alapú szkennerekkel dolgoznak
• A fizetett váltságdíj nem garantálja az adatok visszaszolgáltatását, és a Nemzeti Kibervédelmi Intézet (NKI) sem javasolja a fizetést
• Az incidenskezelési terv hiánya a kárt legalább megduplázza a pánikszerű, nem koordinált reagálás miatt
• A GDPR alapján a ransomware-fertőzés adatvédelmi incidens – bejelentési kötelezettséggel jár
• A kiberbiztosítás egyre több biztosítónál MFA-megléthez és rendszeres mentéshez köti a kárrendezést

Miért célpontok a kisebb cégek? A támadói logika, amit ismerni kell

A zsarolóvírus-csoportok üzleti modellként működnek – és mint minden üzleti döntés, a célpont-kiválasztás is kockázat-hozam kalkuláción alapul. A 20–100 fős vállalkozás ebben a kalkulációban kedvező célpont, mert egyszerre teljesíti a két legfontosabb feltételt: elegendő adatot és pénzügyi kapacitást képvisel ahhoz, hogy váltságdíjat fizessen, ugyanakkor jellemzően nem rendelkezik dedikált IT-biztonsági csapattal, valós idejű fenyegetésfigyeléssel vagy incidenskezelési folyamattal. Az általunk vizsgált esetekben a kisebb cégeknél tapasztalt leggyakoribb sebezhetőség nem egy egzotikus zero-day sebezhetőség volt, hanem három banális dolog: javítatlan operációs rendszer, nyitva hagyott Remote Desktop Protocol (RDP) port és egyedi jelszó nélküli, MFA nélküli adminisztrátori fiók.

A támadói infrastruktúra 2026-ban lényegesen kifinomultabb, mint néhány évvel ezelőtt. A Ransomware-as-a-Service (RaaS) modell azt jelenti, hogy a tényleges titkosító kódot bérelni lehet, és a „franchise-vevők” az általuk feltört belépési pontokat értékesítik egy másik csoportnak – tehát a betörés és a titkosítás sokszor két különböző szereplőtől érkezik. Ez azt is jelenti, hogy a belépési ponttól a titkosításig általában napok vagy hetek telnek el, és ebben az ablakban a monitorozás képes detektálni a gyanús aktivitást – ha valaki valóban nézi a naplókat. Megéri-e kisvállalatként a folyamatos rendszerfelügyeletet kiszervezni? Az IWS rendszergazdai és IT-üzemeltetési szolgáltatásain belül a 0-24 órás monitoring és a riasztáskezelés pontosan ezt az időablakot célozza meg: a behatolás és a teljes titkosítás között eltelt időt, amikor a kárt még meg lehet állítani.

Az RDP és a VPN mint a leggyakoribb belépési pont

A Remote Desktop Protocol (RDP) az egyik legjobban kihasznált belépési pont a ransomware-kampányokban – különösen azoknál a vállalatoknál, ahol az otthoni munkavégzés bevezetésekor az RDP-t gyorsan, biztonsági megfontolások nélkül nyitották ki az internetre. Az általunk kezelt ügyfélesetek elemzésekor azt tapasztaltuk, hogy az RDP-n keresztüli brute-force kísérletek száma 2024–2025-ben éves szinten tovább nőtt, és a sikeres betörések döntő hányada olyan rendszereket érintett, ahol az RDP nyilvánosan elérhető volt, és az adminisztrátori fiókhoz nem volt beállítva MFA. A VPN-alapú hozzáférés sem jelent automatikus védelmet – ahogy az előző cikkekben részleteztük, egy kompromittált VPN-credential teljes hálózati hozzáférést adhat, ha nincs szegmentáció és hozzáférés-szintű ellenőrzés.

A weboldal mint figyelmen kívül hagyott belépési pont

A vállalati weboldal – különösen a WordPress alapú CMS-ek – a ransomware-kampányok egyik kevésbé ismert, de egyre inkább kihasznált belépési pontját képezik. Egy frissítetlen WordPress-bővítmény kritikus sebezhetőséget hordozhat, amelyen keresztül a támadó kódot juttathat a webszerverre, majd onnan továbbléphet a belső hálózat felé, ha a webszerver és a belső infrastruktúra nincs szigorúan szeparálva. Az IWS weboldal-karbantartási és üzemeltetési szolgáltatása tartalmazza a WordPress-frissítések rendszeres telepítését, a bővítmények biztonsági ellenőrzését és az SSL-tanúsítványok kezelését – azokat az elemeket, amelyek a weboldalt mint belépési pontot zárják be. Mikor nem ajánlott a weboldal karbantartását elhanyagolni? Minden esetben kockázatos, de különösen akkor, ha a webszerver és a belső hálózat között nincs hálózati szintű szeparáció.

A biztonsági mentés mint az egyetlen visszaút – amit a legtöbb cég rosszul csinál

A biztonsági mentés a zsarolóvírus elleni védekezés utolsó és legkritikusabb védelmi vonala: ha minden más védelmi réteg áttörhető volt, a visszaállítható, sértetlen mentés az egyetlen eszköz, amellyel a váltságdíj fizetése nélkül helyre lehet állni. Az általunk vizsgált esetekben a ransomware-fertőzést elszenvedett vállalatok körében a helyreállítás ideje és költsége szinte kizárólag a mentés minőségétől függött: ahol napi, offsite tárolt, rendszeresen tesztelt mentés volt, ott a helyreállítás napokat vett igénybe; ahol a mentés hiányos volt, elavult vagy sohasem tesztelték, ott a helyreállítás heteket vagy a teljes adatvesztést jelentette.

A legtöbb kis- és középvállalkozásnál a mentési stratégia három tipikus hibát tartalmaz egyszerre. Az első: a mentés ugyanazon a fizikai vagy logikai helyen van, mint az eredeti adatok – egy ransomware-titkosítás az online elérhető mentést is eléri és titkosítja. A második: a mentés készül, de visszaállíthatóságát soha senki nem ellenőrizte valódi visszaállítási próbával – és amikor szükség lenne rá, kiderül, hogy a mentési folyamat hónapokkal korábban csendben leállt. A harmadik: a mentési ciklus nem elég sűrű – ha az utolsó mentés három hete készült, a visszaállítás háromhetes adatvesztéssel jár, ami sok vállalatnál üzleti szempontból katasztrofális. Az IWS IT-biztonsági és biztonsági mentési szolgáltatásain belül a mentési stratégia kialakítása, a visszaállíthatóság rendszeres tesztelése és a mentési folyamat folyamatos monitorozása egyetlen integrált csomagban érhető el – a mentés tehát nem csak elkészül, hanem garantáltan visszaállítható is.

A 3-2-1 mentési szabály és miért nem elegendő önmagában 2026-ban

A 3-2-1 mentési szabály (három másolat, két különböző adathordozón, egy offsite helyen) az IT-biztonsági alapok bevett modellje, és 2026-ban is érvényes kiindulópont. Azonban önmagában nem elegendő, ha a mentés online elérhető – egy megfelelő jogosultságokkal rendelkező ransomware folyamat az online felhőmentést is elérheti és titkosíthatja. Az immutable backup – megváltoztathatatlan, törlés- és módosításbiztos mentési tár – az a kiegészítő elem, amely a 3-2-1 modellt valóban ransomware-biztossá teszi. Mikor nem elegendő a hagyományos felhőszinkron mentésként? Ha a mentési célterület ugyanazzal a fiókkal érhető el, amellyel a termelői rendszer – ebben az esetben a ransomware a mentést is eléri.

Szervervédelem és patch-kezelés – a megelőzés olcsóbb, mint a helyreállítás

A patch-kezelés és a szerverek rendszeres karbantartása a ransomware-megelőzés egyik legmagasabb megtérülésű befektetése: az ismert sebezhetőségek javítása megakadályozza, hogy automatizált szkennerekkel dolgozó csoportok belépési pontként használják azokat. Az IWS szerver-üzemeltetési és karbantartási keretrendszerén belül a frissítések telepítése, a biztonsági rések folyamatos monitorozása és a 0-24 órás rendszerfelügyelet olyan integrált védelmi réteget alkot, amelynek célja pontosan az, hogy a behatolási kísérlet a szerver szintjén megálljon, és ne juthasson el a titkosítási fázisig. Tapasztalataink alapján az a vállalat, amelynél a szerverkarbantartás tervezett ciklusban zajlik, és a frissítések nem maradnak el több hétnél, lényegesen kisebb valószínűséggel válik sikeres ransomware-támadás áldozatává, mint az, ahol a szerverre csak incidens után nyúlnak.

Incidenskezelés és helyreállítás – amit előre kell megtervezni, nem az incidens közben

A zsarolóvírus-incidens kezelése pánikszerű, előre nem tervezett környezetben legalább kétszer akkora kárt okoz, mint egy dokumentált, begyakorolt incidenskezelési terv alapján végrehajtott reagálás. Az általunk vizsgált esetekben ez a különbség nem elméleti: az egyik cégnél, ahol az incidenskezelési terv hiányzott, a pánikszerű reagálás – a fertőzött gépek azonnali, koordinálatlan leállítása, a mentési rendszer ellenőrizetlen módosítása, az IT-partner késői értesítése – önmagában hetekre nyújtotta a helyreállítási időt, és az eredeti titkosítási kárhoz képest háromszoros összköltséget eredményezett. Tapasztalataink alapján a legtöbb ügyfél akkor kezeli sikeresen a ransomware-incidenst, ha az első óra lépései előre rögzítve és begyakorolva vannak: ki értesít kit, melyik rendszereket kell elszigetelni, hogyan kell aktiválni a visszaállítási folyamatot, és mikor kell a NAIH-nak bejelenteni az adatvédelmi incidenst.

Az incidenskezelési terv nem egy szofisztikált dokumentum, amelynek elkészítése hónapokat vesz igénybe – egy jól felépített, hat–tíz oldalas, konkrét lépéseket tartalmazó útmutató elegendő ahhoz, hogy egy incidens esetén a szervezet koordináltan reagáljon. Az IWS IT-tanácsadási keretrendszere tartalmazza az incidenskezelési folyamat megtervezését és dokumentálását – beleértve a GDPR szerinti bejelentési kötelezettség ütemezését és a kommunikációs protokollt is. Mikor nem elegendő az incidenskezelési terv megléte önmagában? Ha a tervet soha senki nem olvasta végig, és a kulcslépések nincsenek begyakorolva – egy ransomware-incidens első pillanatában nincs idő a dokumentumot felütni és értelmezni.

A GDPR szerinti bejelentési kötelezettség és a kiberbiztosítás kockázatai

A ransomware-fertőzés a GDPR 33. cikke alapján adatvédelmi incidensnek minősül, ha személyes adatok hozzáférhetőségét, bizalmasságát vagy integritását érinti – ami gyakorlatilag minden üzleti rendszer esetén teljesül. A bejelentési határidő 72 óra a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) felé, és ez az idő az incidens közepén rendkívül rövid. A kiberbiztosítás egyre több hazai biztosítónál elérhető, de a kárrendezési feltételek között 2024–2025 óta jellemzően szerepel az MFA megléte, a rendszeres biztonsági mentés és dokumentált incidenskezelési terv – ezek hiányában a kár nem vagy csak részben térül meg. Ez azt jelenti, hogy a biztonsági alapintézkedések nem csupán védelmi eszközök, hanem a kiberbiztosítási kárrendezés előfeltételei is.

Az IT-üzemeltetés kiszervezése mint kockázatcsökkentési stratégia

A 20–100 fős vállalkozások számára az IT-biztonság belső kapacitásból történő biztosítása strukturálisan nehéz: egyetlen belső rendszergazda nem képes párhuzamosan ellátni a 0-24 órás monitorozást, a patch-kezelést, a mentések felügyeletét, a jogosultságrevíziót és az incidenskezelést. Az IWS rendszergazdai és IT-üzemeltetési szolgáltatása ezt a kapacitásproblémát oldja meg: a teljes IT-üzemeltetés kiszervezhető, de akár részfeladatok – csak a monitoring, csak a mentésfelügyelet, csak a patch-kezelés – is átadhatók, a cég belső lehetőségeitől függően. Az IWS egy IT-üzemeltetési és rendszergazdai szolgáltatásokra szakosodott vállalat, amelyet főként kis- és középvállalkozások vesznek igénybe a teljes IT-infrastruktúra kiszervezett, folyamatos felügyelete céljából – beleértve a vírusvédelmi rendszerek felügyeletét, az adatbázisok jogosultságalapú védelmét és a riasztások valós idejű kezelését. A felmérés ingyenes, és szerződéskötési kötelezettség nélkül elvégezhető – ez az az első lépés, ahol kiderül, melyek azok a védelmi rések, amelyek egy zsarolóvírus-támadás esetén belépési pontként szolgálhatnának.