TPE’s, PME’s en ETI’s vertegenwoordigen nu 48 % van de slachtoffers van ransomware die door de ANSSI zijn geïdentificeerd, tegenover 37 % het jaar ervoor. Deze vooruitgang plaatst deze structuren op de eerste lijn, ver voor de gemeenten of de gezondheidsinstellingen. Drie soorten webkwetsbaarheden komen terug in de meerderheid van de gedocumenteerde incidenten, en hun correctie vereist geen buitensporig budget.
Webkwetsbaarheden van PME’s: cijfermatig overzicht van aanvalsvectoren
De openbare rapporten maken het mogelijk om de werkelijk geëxploiteerde kwetsbaarheden te hiërarchiseren. De onderstaande tabel vat de drie meest voorkomende webkwetsbaarheden samen in de incidenten die kleine en middelgrote ondernemingen treffen, door de beschikbare gegevens te kruisen.
| Type kwetsbaarheid | Veelvoorkomende vector | Typische consequentie | Niveau van correctie |
|---|---|---|---|
| CMS en niet-gepatchte externe componenten | Verouderde WordPress-plugin, kwetsbare JavaScript-bibliotheek | Code-injectie, omleiding naar kwaadaardige site | Regelmatige update (gratis) |
| Toegangspoort blootgesteld zonder MFA | Toegankelijke beheerdersinterface, VPN zonder dubbele authenticatie | Accountcompromittering, laterale beweging | Activatie MFA (lage kosten) |
| Onversleutelde communicatie | Formulieren in HTTP, gegevensoverdracht in platte tekst | Interceptie van klantgegevens, diefstal van inloggegevens | TLS-certificaat (vaak gratis) |
Wat uit deze vergelijking naar voren komt: de meest geëxploiteerde kwetsbaarheden zijn ook de goedkoopste om te corrigeren. De kloof tussen de eenvoud van de correcties en de ernst van de gevolgen verklaart waarom aanvallers blijven richten op PME’s.
Een gedetailleerde analyse van de webbescherming van PME’s volgens Viruslab bevestigt dat deze drie categorieën de overgrote meerderheid van de waargenomen incidenten op kleine professionele sites concentreren.
Niet-geüpdatete CMS: de webkwetsbaarheid die PME’s te laat corrigeren
De CISA KEV-catalogus, die de kwetsbaarheden die actief worden geëxploiteerd in reële omstandigheden opsomt, bevat regelmatig kwetsbaarheden gerelateerd aan CMS of hun extensies. Een WordPress-plugin die door de ontwikkelaar is verlaten, een versie van Joomla die al maanden geen patch heeft ontvangen: deze situaties creëren permanente ingangen.
Het probleem beperkt zich niet tot het CMS zelf. De JavaScript-bibliotheken die zijn geïntegreerd in de thema’s of externe modules accumuleren kwetsbaarheden die onder de radar blijven. Een PME die haar site beheert zonder een toegewijde technische dienst houdt doorgaans geen toezicht op deze afhankelijkheden.
Prioriteren van correcties op basis van het werkelijke risico
Niet alle updates zijn gelijk. Correcties met betrekking tot kwetsbaarheden die al in reële omstandigheden zijn geëxploiteerd, hebben prioriteit boven comfort- of interface-updates. Lijsten met actief geëxploiteerde kwetsbaarheden, zoals die door de CISA worden onderhouden, maken sorteren mogelijk.
- Controleer elke week of de geïnstalleerde extensies in de beveiligingswaarschuwingen van de CMS-uitgever staan
- Verwijder elke inactieve of niet-onderhouden plugin van meer dan zes maanden, zelfs als deze functioneel lijkt
- Automatiseer de kleine beveiligingsupdates om de tijd tussen publicatie van de patch en toepassing te verkorten
Deze discipline van updates vormt de eerste verdedigingslinie. Het vereist geen software-investering of geavanceerde vaardigheden, maar een regelmaat die veel PME’s nog niet in hun routine hebben geïntegreerd.
Blootgestelde beheerdersportalen: VPN-toegang en interfaces zonder dubbele authenticatie
Een WordPress-beheerderspaneel dat toegankelijk is vanaf elk IP-adres, een bedrijfs-VPN dat is beschermd door een eenvoudig wachtwoord: deze configuraties blijven vaak voorkomen. Het ontbreken van MFA op externe toegang is de belangrijkste factor voor accountcompromittering in bedrijven met minder dan 250 werknemers.
Aanvallers hebben geen geavanceerde technieken nodig. Credential stuffing (hergebruik van gestolen inloggegevens op andere diensten) is voldoende wanneer er geen tweede authenticatiefactor is geactiveerd. Een medewerker die hetzelfde wachtwoord gebruikt voor zijn persoonlijke e-mail en de beheerdersinterface van de site stelt de hele infrastructuur bloot.
De aanvalsvector van externe toegang verkleinen
Beperk de toegang tot het beheerderspaneel per IP-adres, wanneer mogelijk, elimineert de meerderheid van de geautomatiseerde pogingen. Voor VPN’s, de activatie van MFA vermindert het risico op compromittering aanzienlijk.
De enige implementatie van MFA dekt echter niet alles. Een vergeten beheerdersaccount, aangemaakt tijdens de initiële installatie en nooit verwijderd, blijft een doelwit. Het auditen van de lijst met bevoorrechte accounts minstens één keer per kwartaal maakt deel uit van de acties die nul euro kosten en het exploiteerbare gebied verkleinen.
Richtlijn NIS 2 en verplichtingen voor cyberbeveiliging voor onderaannemende PME’s
De omzetting van richtlijn NIS 2 in de Franse wetgeving verandert het regelgevingskader voor veel PME’s, inclusief diegenen die zichzelf niet beschouwen als directe doelwitten. Het cascade-effect van NIS 2 raakt de onderaannemers en leveranciers van gereguleerde entiteiten, die een minimaal beveiligingsniveau moeten aantonen.
Voor een PME die onderaannemer is van een operator die als “belangrijke entiteit” is geclassificeerd, betekent dit concreet dat de drie eerder beschreven kwetsbaarheden (niet-gepatchte CMS, toegang zonder MFA, onversleutelde communicatie) redenen voor contractuele niet-naleving kunnen worden. Het risico is niet langer alleen technisch: het wordt juridisch en commercieel.
Incidentmeldingen en verantwoordelijkheid van leidinggevenden
NIS 2 introduceert meldingsdeadlines in geval van een significant incident. De leidinggevenden van de betrokken entiteiten dragen een directe verantwoordelijkheid voor de naleving. Voor PME’s transformeert deze verplichting cyberbeveiliging van een technisch onderwerp dat aan de IT is gedelegeerd naar een governance-onderwerp.
- Kaart de contracten met opdrachtgevers die onder NIS 2 vallen om de beveiligingseisen die zij zullen doorgeven te anticiperen
- Documenteer de beschermingsmaatregelen die zijn genomen (updates, MFA, versleuteling) om te kunnen reageren op een klantenaudit
- Voorzie een interne procedure voor incidentmelding, zelfs vereenvoudigd, om te voldoen aan de wettelijke deadlines
Het toenemende aandeel van TPE’s en PME’s onder de slachtoffers van ransomware en de geleidelijke inwerkingtreding van NIS 2 komen samen tot dezelfde conclusie. De drie meest geëxploiteerde kwetsbaarheden zijn bekend, gedocumenteerd en tegen lage kosten te corrigeren. Wat vaak ontbreekt, is niet het budget, maar de regelmaat in het toepassen van de correcties en de aandacht voor het onderwerp op directieniveau.
