Nejčastější zranitelnosti, které najdeme při pentestu malé firmy

Když se řekne pentest, hodně majitelů malých firem si představí sofistikovaný útok, který by odhalila jen specializovaná firma s drahým vybavením. Ve skutečnosti se ve většině zakázek opakuje pár stejných nálezů — ne proto, že by útočníci byli výjimeční, ale proto, že základní hygiena zůstává neošetřená.

Slabá nebo znovupoužitá hesla

Nejčastější nález zůstává nejjednodušší: heslo, které je buď triviální, nebo se používá na víc místech současně. Stačí, aby uniklo jedno heslo z jiné služby, a útočník ho zkusí i na firemní VPN nebo administraci webu. U menších firem tenhle nález padá skoro v každé zakázce.

Chybějící vícefaktorové ověření

Tam, kde heslo přece jen uniklo nebo bylo uhodnuto, by druhý faktor útok zastavil. V praxi ale MFA často chybí právě na nejcitlivějších účtech — administrátorský přístup k webu, vzdálená správa sítě, e-mailový účet, ze kterého by šlo resetovat další hesla. Nastavení zabere řádově minuty; absence bývá spíš otázka toho, že to nikdo formálně nezavedl jako pravidlo, ne technická překážka.

Neopravené nebo veřejně vystavené služby

Router, WiFi extender nebo starý interní systém, který nikdo dlouho neaktualizoval, ale zůstal dostupný zvenčí — to je druhý opakovaný vzorec. Zařízení běží roky bez povšimnutí, protože „funguje", a nikdo je nezařadil do pravidelné revize. Právě tahle zapomenutá zařízení bývají nejsnazší cesta dovnitř, protože nikdo nesleduje, jestli mají ještě aktuální firmware.

Zapomenuté testovací a demo účty

Účet vytvořený pro testování při nasazení systému, který pak zůstal aktivní s výchozím heslem — tenhle nález se objevuje překvapivě často. Nejde o útok na produkční systém, ale o vstup postranními dveřmi, které nikdo nezavřel po dokončení práce.

Plochá vnitřní síť

Poslední opakující se zjištění není jedna konkrétní díra, ale architektura: jakmile se útočník dostane dovnitř přes kterýkoliv z bodů výše, může se ve firemní síti volně pohybovat, protože segmentace mezi provozními a citlivými systémy chybí. I menší chyba na okraji sítě tak může vést k plnému přístupu, ne jen k izolovanému incidentu.

Co z toho plyne pro menší firmu

Žádný z těchto nálezů nevyžaduje velký rozpočet na opravu — jde spíš o to mít je pravidelně na radaru, ne jen je vyřešit jednou při zavedení systému. Bezpečnostní stav se totiž tiše vrací k výchozímu nastavení: heslo se obnoví na jednodušší, MFA se při výměně zaměstnance nedotáhne, testovací účet zůstane po projektu aktivní. Proto dává smysl brát bezpečnostní audit jako opakovanou kontrolu, ne jednorázový projekt — v Cyber Force ho tak i stavíme, včetně krátkého reportu, co konkrétně opravit jako první.