Startapçıların pul itirməsinə səbəb olan 5 kibertəhlükəsizlik səhvi

Startap təsisçilərindən onları ən çox narahat edən məsələni soruşduqda adətən maliyyə vəsaiti, işçi seçimi və məhsulun bazara uyğunluğu kimi mövzular ön plana çıxır. Lakin kibertəhlükəsizlik üzrə araşdırmalar göstərir ki, əksər startapların diqqətdən kənarda qoyduğu e-poçt təhlükəsizliyi ən böyük risklərdən biridir.

Valyuta.az xəbər verir ki, "IBM"in "Cost of a Data Breach Report 2025" hesabatına görə, məlumat sızmalarının 16%-i fişinq (phishing) hücumları nəticəsində baş verir. Belə insidentlərin orta maliyyə zərəri isə 4,8 milyon ABŞ dollarına çatır.

"Verizon Data Breach Investigations Report" (DBIR) isə bildirir ki, bütün kiberhücumların təxminən 60%-ində insan faktoru - fişinq, oğurlanmış giriş məlumatları və ya sosial mühəndislik üsulları əsas rol oynayır.

Böyük şirkətlər milyonlarla dollarlıq zərəri müəyyən qədər qarşılaya bilsələr də, erkən mərhələdə olan bir startap üçün sındırılmış e-poçt hesabı müştəri məlumatlarının sızmasına, investor ödənişlərinin başqa hesaba yönləndirilməsinə və hətta şirkətin fəaliyyətini dayandırmasına səbəb ola bilər.

ABŞ Federal Təhqiqat Bürosunun (FBI) "Internet Crime Report" hesabatına əsasən, təkcə "Business Email Compromise" (BEC) - yəni biznes e-poçtlarının ələ keçirilməsi və ya saxtalaşdırılması nəticəsində 2024-cü ildə ABŞ-də 21 442 şikayət qeydə alınıb və ümumi zərər 2,77 milyard dollar təşkil edib.

Mütəxəssislər bildirirlər ki, əksər kiberhücumlar mürəkkəb texnologiyaların çatışmazlığı səbəbindən deyil, əsas təhlükəsizlik qaydalarına əməl olunmadığı üçün baş verir.

1. E-poçt təhlükəsizliyini sonraya saxlamaq

Bir çox startapda ilk günlərdə e-poçt sistemi tələsik qurulur və standart təhlükəsizlik ayarları dəyişdirilmir.

Halbuki e-poçt hesabı şirkətin demək olar ki, bütün rəqəmsal xidmətlərinə açardır. CRM sistemləri, bulud xidmətləri, bank hesabları və digər platformalarda parolun yenilənməsi məhz e-poçt vasitəsilə həyata keçirilir.

Bu səbəbdən ekspertlər ilk gündən iki faktorlu identifikasiya (2FA), etibarlı parol meneceri və təhlükəsizlik imkanları standart olaraq təqdim olunan korporativ e-poçt xidmətlərindən istifadə etməyi tövsiyə edirlər.

2. Komandanın fişinqi tanıyacağını düşünmək

Əvvəllər fişinq məktublarını səhv yazılar və qeyri-peşəkar mətnlər vasitəsilə müəyyən etmək mümkün idisə, süni intellekt bu vəziyyəti dəyişib.

IBM-in araşdırmasına görə, generativ süni intellekt inandırıcı fişinq məktubunun hazırlanma müddətini 16 saatdan təxminən 5 dəqiqəyə endirib.

Bundan əlavə, təhlükəsizlik üzrə təlim şirkəti Keepnet müəyyən edib ki, yeni işə başlayan əməkdaşlar fişinq hücumlarına aldanmağa 44% daha çox meyillidir, onların 71%-i ilk 90 gün ərzində fişinq məktubuna klik edir.

Bu səbəbdən kibertəhlükəsizlik üzrə təlimlər yalnız işə qəbul zamanı deyil, davamlı şəkildə keçirilməlidir.

3. Pul köçürmələri ilə bağlı riskləri nəzərə almamaq

BEC hücumları zərərli proqram tələb etmir. Kibercinayətkar CEO adından göndərilmiş təcili ödəniş məktubu hazırlayır və əməkdaşın həmin məbləği köçürməsinə çalışır.

"Verizon"un məlumatına görə, bir BEC hadisəsində median maliyyə itkisi 50 min dollar təşkil edir. Bu isə bir çox startap üçün bir neçə aylıq fəaliyyət büdcəsinə bərabər ola bilər.

Mütəxəssislər tövsiyə edirlər ki, ödəniş rekvizitlərində edilən hər dəyişiklik, müəyyən məbləğdən yuxarı bütün köçürmələr mütləq ikinci əlaqə kanalı (məsələn, əvvəlcədən məlum olan telefon nömrəsi vasitəsilə) təsdiqlənsin.

4. SPF, DKIM və DMARC qeydlərini qurmamaq

"SPF", "DKIM" və "DMARC" e-poçtun həqiqətən şirkətin domenindən göndərildiyini təsdiqləyən autentifikasiya standartlarıdır.

Bu qeydlər qurulmadıqda kibercinayətkarlar şirkətin adından saxta məktublar göndərə, müştəriləri, investorları və tərəfdaşları aldada bilərlər.

Ekspertlər bildirirlər ki, bu sistemlərin qurulması cəmi bir neçə saat çəkir, lakin onların olmaması şirkətin nüfuzuna ciddi zərbə vura bilər.

5. E-poçt təhlükəsizliyini artıq hüquqi məsələ hesab etməmək

Məsələn, Avropa İttifaqında GDPR qaydalarına əsasən, şəxsi məlumatların sızması halında şirkətlər hadisə barədə 72 saat ərzində məlumat verməlidirlər.

Qaydaların pozulmasına görə cərimə 20 milyon avroya və ya şirkətin qlobal illik dövriyyəsinin 4%-nə qədər çata bilər.

Bundan əlavə, NIS2 direktivi də daha çox şirkəti və onların təchizat zəncirini kibertəhlükəsizlik tələblərinə əməl etməyə məcbur edir.

Bu səbəbdən investorlar və korporativ müştərilər artıq əməkdaşlığa başlamazdan əvvəl şirkətin e-poçt sisteminin necə qorunduğunu, məlumatların necə şifrələndiyini və onlara kimin çıxış imkanının olduğunu da araşdırırlar.