Domena nije samo adresa vaše stranice. Izgubite li je, možete izgubiti cijeli posao
Poduzetnici mnogo vremena troše na proizvod, prodaju, marketing, društvene mreže i izgradnju prepoznatljivog brenda. Raspravlja se o tome kako privući kupce, povećati promet i izgraditi zajednicu, dok jedna od najvažnijih poslovnih točaka često ostaje po strani, spremljena negdje među tehničke obveze kojima se nitko ne želi baviti dok sve normalno radi.
Riječ je o internetskoj domeni.
Na prvi pogled domena je samo adresa koju kupci upisuju kako bi došli do vaše stranice. U stvarnosti ona je mnogo više od toga. Na nju su vezani vaša web-stranica, poslovne adrese e-pošte, prodajne kampanje, korisnička podrška, obrasci za prijavu, internetska trgovina, sustavi za naplatu i velik dio digitalnog identiteta tvrtke.
Izgubi li netko kontrolu nad domenom, posljedice se ne zaustavljaju na tome da stranica privremeno nije dostupna. Posjetitelji se mogu preusmjeriti na lažnu stranicu, poruke kupaca mogu završiti kod napadača, računi i ponude mogu se slati u ime tvrtke, a zaposlenici mogu izgubiti pristup poslovnim alatima kojima lozinke obnavljaju putem e-pošte.
U samo nekoliko sati poslovanje koje se gradilo godinama može kupcima početi izgledati kao prijevara.
Zato domenu više nije dovoljno promatrati kao marketinški trošak ili tehnički detalj o kojem se jednom godišnje razmišlja prilikom obnove. Za svaku tvrtku koja posluje putem interneta ona bi trebala imati status sličan pristupu bankovnom računu, poslovnom sustavu ili računovodstvenim podacima.
Najopasniji digitalni napadi ne počinju uvijek sofisticiranim programiranjem ili otkrivanjem nepoznate sigurnosne slabosti. Mnogo češće počinju ukradenom lozinkom, kompromitiranim e-mailom, lažnom porukom, telefonskim pozivom korisničkoj podršci ili pristupom bivšeg zaposlenika koji nikada nije ugašen.
Napadaču ponekad nije potrebno provaliti u cijelu informatičku infrastrukturu tvrtke. Dovoljno mu je doći do računa kod registrara domene ili sustava u kojem se uređuju DNS zapisi. Nekoliko promjena nakon toga može biti dovoljno da se posjetitelji preusmjere na drugu stranicu, da se poremeti rad poslovne e-pošte ili da se stvori uvjerljiva kopija postojećeg digitalnog identiteta.
U hrvatskim mikro i malim poduzećima dodatni je problem to što domenu često registrira osoba koja je izradila web-stranicu, marketinška agencija, vanjski informatičar ili sam vlasnik preko svoje privatne adrese e-pošte. Nakon nekoliko godina više nitko sa sigurnošću ne zna na koga je domena registrirana, tko posjeduje pristupne podatke i s koje se kartice plaća njezina obnova.
Sve funkcionira dok se ne promijeni dobavljač, dok zaposlenik ne ode, dok se privatni e-mail ne ugasi ili dok račun ne bude kompromitiran. Tada tvrtka može otkriti da domenu koju godinama koristi zapravo nema pod vlastitom operativnom kontrolom.
Najvidljivija posljedica problema s domenom jest nedostupna internetska stranica, no prava šteta često nastaje u pozadini.
Internetska trgovina prestaje primati narudžbe. Plaćeni oglasi vode na nepostojeće ili lažne stranice, dok se budžet i dalje troši. Kupci ne dobivaju potvrde o kupnji, prodajni tim ne prima upite, a poslovni partneri ne mogu poslati dokumentaciju ili dogovoriti sastanak.
Još je ozbiljniji udar na povjerenje. Napadač koji kontrolira domenu može pokušati slati poruke koje izgledaju kao da dolaze od direktora, računovodstva ili prodaje. Dobavljaču se može poslati lažna obavijest o promjeni IBAN-a, kupcu račun s pogrešnim podacima za uplatu, a zaposleniku zahtjev za unos lozinke na kopiranoj stranici.
Takve prijevare posebno su učinkovite jer poruka ne dolazi s očito sumnjive adrese, nego može izgledati kao nastavak uobičajene poslovne komunikacije. Primatelj vidi poznato ime tvrtke, prepoznatljiv potpis i sadržaj koji odgovara njegovu poslovnom odnosu s pošiljateljem.
U tom trenutku problem više nije samo informatički. Postaje financijski, reputacijski i pravni, a ovisno o vrsti podataka koji su kompromitirani može otvoriti i pitanja zaštite osobnih podataka te obveze prijave incidenta.
Najvažniji korak nije kupnja novog sigurnosnog alata, nego odgovor na nekoliko vrlo jednostavnih pitanja.
Na koga je registrirana domena? Kojom se adresom e-pošte pristupa računu kod registrara? Tko može mijenjati DNS zapise? Tko prima obavijest o isteku? Postoji li još netko tko ima administratorski pristup? Što se događa ako osoba koja danas kontrolira račun sutra više ne radi za tvrtku?
Odgovori ne bi smjeli ovisiti o sjećanju jednog zaposlenika ili vlasniku agencije koja je prije pet godina izradila web-stranicu. Podaci o domeni, registraru, datumima obnove, administratorskim ovlastima i postupku oporavka trebali bi biti evidentirani u internoj dokumentaciji tvrtke.
Domena bi u pravilu trebala biti registrirana na samu pravnu osobu ili obrtnika koji je koristi, a ne na zaposlenika, vanjskog suradnika ili privatnu osobu koja je sudjelovala u izradi stranice. Administrativni kontakt također treba biti pod kontrolom tvrtke.
Privatna adresa osnivača može se činiti praktičnom dok je poslovanje malo, ali s vremenom postaje sigurnosna slabost. Ako se izgubi pristup tom računu, promijeni telefonski broj ili nastane spor među poslovnim partnerima, oporavak domene može postati mnogo složeniji nego što bi trebao biti.
Račun kod registrara domene ne bi smio imati istu lozinku kao društvene mreže, webshop ili privatni e-mail. Lozinka treba biti jedinstvena, dovoljno duga i spremljena u pouzdanom upravitelju lozinki.
Višefaktorska autentifikacija trebala bi biti obvezna za sve osobe koje imaju pristup. Gdje god je moguće, prednost treba dati aplikaciji za autentifikaciju ili fizičkom sigurnosnom ključu, umjesto oslanjanja isključivo na SMS poruke. Telefonski broj može biti izgubljen, deaktiviran ili prenesen na drugu SIM karticu prijevarom.
Broj administratora treba biti ograničen. U maloj tvrtki obično nema potrebe da pristup registraru imaju vlasnik, marketinška agencija, web-dizajner, osoba zadužena za društvene mreže i nekoliko vanjskih suradnika. Svaki dodatni administratorski račun povećava površinu napada.
Vanjski dobavljači trebaju dobiti samo one ovlasti koje su im stvarno potrebne i samo tijekom razdoblja u kojem obavljaju posao. Predaja lozinke putem e-pošte, WhatsAppa ili poruke na Slacku možda je brza, ali stvara trag koji može ostati dostupan godinama nakon završetka suradnje.
Većina registrara omogućuje zaključavanje domene protiv neovlaštenog prijenosa. Ta se opcija često prikazuje kao zabrana transfera ili status „clientTransferProhibited”, a njezina je svrha spriječiti da se domena bez dodatne provjere prebaci drugom registraru.
Za najvažnije poslovne domene treba provjeriti postoje li i dodatne razine zaštite, posebice kod registrara koji nude naprednije sigurnosne postupke za pravne osobe. To može uključivati ručno odobravanje osjetljivih promjena, dodatnu provjeru identiteta ili ograničavanje promjena na unaprijed određene ovlaštene osobe.
Istodobno treba uključiti automatsku obnovu domene, ali se ne treba osloniti samo na nju. Kartica može isteći, račun može biti blokiran, a obavijest o neuspješnoj naplati završiti u neželjenoj pošti. Datum isteka i način plaćanja zato treba pratiti i u poslovnom kalendaru ili internom sustavu za upravljanje obvezama.
Gubitak domene zbog propuštene obnove zvuči kao početnička pogreška, ali upravo se takve pogreške događaju tvrtkama u kojima svi pretpostavljaju da se time bavi netko drugi.
DNS je sustav koji povezuje naziv vaše domene s web-stranicom, poslužiteljima e-pošte i drugim digitalnim uslugama. Promijeni li netko te zapise, ne mora nužno ukrasti samu domenu da bi izazvao ozbiljnu štetu.
Posjetitelji se mogu preusmjeriti na lažnu stranicu, e-pošta se može usmjeriti na drugi poslužitelj, a pojedini dijelovi stranice mogu postati nedostupni. Takve promjene ponekad ostaju neprimijećene sve dok kupci ne počnu prijavljivati problem.
Pristup DNS postavkama zato bi trebao imati vrlo ograničen broj osoba. Tvrtka treba znati tko smije tražiti promjenu, tko je odobrava i gdje se bilježi što je promijenjeno. Za osjetljive promjene korisno je uvesti pravilo da ih potvrđuju dvije osobe, posebno kada se mijenjaju zapisi povezani s poslovnom e-poštom, plaćanjem ili glavnom web-stranicom.
Registrari i DNS pružatelji koji nude obavijesti o izmjenama trebali bi ih imati uključene. Tvrtka treba saznati za promjenu u trenutku kada se ona dogodi, a ne tek kada kupci počnu zvati jer im stranica izgleda neobično.
Glavnu domenu također ne treba nepotrebno koristiti za svaki promotivni eksperiment. Posebne kampanje, obrasci i vanjski marketinški alati mogu se postavljati na kontroliranim poddomenama. Time se smanjuje mogućnost da pogrešna konfiguracija jednog alata ugrozi cijelu internetsku prisutnost tvrtke.
Kupac ne mora znati što su SPF, DKIM i DMARC, ali svaka tvrtka koja šalje poslovnu e-poštu trebala bi imati nekoga tko zna jesu li ti mehanizmi ispravno postavljeni.
SPF određuje koji poslužitelji smiju slati poruke u ime domene. DKIM porukama dodaje digitalni potpis kojim se potvrđuje da nisu izmijenjene tijekom slanja. DMARC određuje što primateljski sustav treba učiniti s porukama koje ne prolaze te provjere i omogućuje vlasniku domene da prati pokušaje zloupotrebe.
Mnoge tvrtke DMARC postave samo u način praćenja, bez aktivnog odbijanja sumnjivih poruka. Takva konfiguracija može biti koristan početak jer otkriva koji sustavi šalju e-poštu u ime tvrtke, ali ne predstavlja završenu zaštitu.
Nakon što se provjere svi legitimni izvori poruka, od Google Workspacea ili Microsofta 365 do newsletter alata, CRM-a, webshopa i sustava za izdavanje računa, pravila treba postupno pooštravati. Cilj je da neovlaštena poruka koja se pokušava predstaviti kao e-mail vaše tvrtke završi u karanteni ili bude odbijena.
Marketinške kampanje pritom ne moraju prestati. Potrebno ih je pravilno konfigurirati, a za veće količine promotivne e-pošte često ima smisla koristiti posebnu poddomenu kako bi se zaštitila reputacija glavne poslovne domene.
Tvrtke se često usredotoče na vraćanje laptopa, ključeva i službenog telefona, a zaborave na račune kojima je osoba pristupala tijekom rada. Posebno su rizični zajednički administratorski računi kod kojih nije moguće jednostavno utvrditi tko se i kada prijavio.
Pristup domenama i DNS-u treba biti dio formalnog postupka odlaska zaposlenika ili prestanka suradnje s vanjskim izvođačem. Ovlasti treba ukinuti, lozinke promijeniti, aktivne sesije odjaviti, a metode oporavka provjeriti.
Isto vrijedi i kada zaposlenik mijenja radno mjesto unutar tvrtke. Osoba kojoj je prije dvije godine trebao administratorski pristup zbog jednokratnog projekta ne mora ga zadržati zauvijek.
Sigurnost ne slabi samo zbog zlonamjernih ljudi. Slabi i zbog prevelikog broja ovlasti, zaboravljenih računa i nejasne odgovornosti.
U slučaju sumnje da je netko preuzeo kontrolu nad domenom ili promijenio DNS zapise, brzina reakcije može odrediti razmjere štete.
Najprije treba osigurati račun kod registrara: promijeniti lozinku, ukinuti nepoznate pristupe, provjeriti metode oporavka i uključiti sva dostupna zaključavanja. Registrarovoj korisničkoj i sigurnosnoj podršci treba se javiti odmah, uz pripremljene dokumente kojima se može dokazati vlasništvo nad domenom i identitet ovlaštene osobe.
DNS zapise treba vratiti na posljednju poznatu ispravnu konfiguraciju, a pristupne podatke svih povezanih sustava promijeniti. Posebnu pozornost treba posvetiti poslovnoj e-pošti, računovodstvenim sustavima, webshopu, alatima za naplatu, servisima za pohranu dokumenata i svim računima kod kojih se lozinka može obnoviti putem kompromitirane adrese.
Potrebno je provjeriti jesu li slane lažne poruke, mijenjani podaci za plaćanje ili preusmjeravani posjetitelji. Ako postoji mogućnost da su ugroženi osobni podaci kupaca, zaposlenika ili partnera, treba procijeniti obveze koje proizlaze iz propisa o zaštiti osobnih podataka i po potrebi uključiti pravne i sigurnosne stručnjake.
Kupcima i partnerima treba komunicirati jasno, pravodobno i bez umanjivanja problema. Kratka službena obavijest s provjerenih komunikacijskih kanala bolja je od tišine u kojoj se šire glasine, lažne upute i nesigurnost.
Plan takvog postupanja ne treba pisati usred incidenta. Treba ga pripremiti dok sve još radi.
Poduzetnici rijetko izgube poslovanje zato što su zakasnili s jednom novom funkcijom na stranici ili objavili slabiju marketinšku kampanju. Mnogo teže posljedice nastaju kada kupci više ne mogu vjerovati da razgovaraju s pravom tvrtkom, da će njihova uplata završiti na pravom računu i da su njihovi podaci sigurni.
Domena se nalazi u središtu tog povjerenja. Ona povezuje ime tvrtke s web-stranicom, e-poštom, prodajom, korisničkom podrškom i svakodnevnim digitalnim poslovanjem.
Zato pitanje sigurnosti domene nije nešto što treba prepustiti slučaju, bivšem zaposleniku ili vanjskom izvođaču čijeg se prezimena više nitko ne sjeća. Tvrtka mora znati tko je vlasnik domene, tko ima pristup, kako se odobravaju promjene i što treba učiniti kada nešto pođe po zlu.
Zaključajte prijenos, ograničite administratore, zaštitite poslovnu e-poštu, pratite promjene i redovito provjeravajte metode oporavka. Sve to djeluje kao nepotrebna administracija sve do dana kada upravo te mjere spriječe da jedan ukradeni račun postane problem opstanka cijele tvrtke.
Stavovi kolumnista/ica nisu stavovi uredništva portala Mojnovac.hr
