De ce sunt firmele de contabilitate ținta hackerilor și cum eviți atacul și amenda

O firmă de contabilitate ține, într-un singur loc, exact datele după care aleargă infractorii: CNP-uri, state de plată, conturi bancare, acte ale firmelor client și documente financiare pentru zeci sau sute de companii. Pentru un atacator, o singură firmă de contabilitate spartă valorează cât zeci de firme obișnuite. De asta sectorul financiar-contabil a ajuns o țintă preferată, iar DNSC a avertizat explicit asupra campaniilor de ransomware care îl vizează.

Vestea și mai neplăcută e că riscul vine pe două fronturi: pierzi accesul la date într-un atac și poți fi și amendat după aceea, dacă nu aveai măsurile de bază. Hai să vedem de ce ești o țintă sigură, ce a pățit o firmă reală din România și ce măsuri concrete te apără, chiar dacă nu ai și nu vrei un departament de IT.

De ce ești o țintă preferată

Logica atacatorului e pur economică. O firmă mică obișnuită are datele câtorva angajați. O firmă de contabilitate are, în schimb, datele complete ale tuturor clienților ei, plus accesuri la platforme sensibile, de la SPV-ul ANAF până la conturi și aplicații de salarizare. Cu același efort, prada e de zeci de ori mai mare. Adaugă faptul că multe firme mici de contabilitate nu au un om de IT, iar rezultatul e o țintă cu valoare mare și apărare slabă.

Mai e un detaliu specific breslei: contabilii fac plăți și gestionează facturi în mod constant, ceea ce îi face vulnerabili și la frauda cu factură falsă sau IBAN schimbat. Practic, ești expus în același timp la ransomware, la furt de date și la fraudă financiară.

Pericolul dublu: și atacat, și amendat

Mulți cred că, dacă au fost victima unui atac, autoritatea îi va trata cu indulgență. Nu e așa. ANSPDCP a amendat o firmă de contabilitate din România cu 10.000 de euro după un atac informatic, pentru că nu implementase măsuri tehnice și organizatorice adecvate de protecție a datelor. Cu alte cuvinte, amenda nu a venit pentru că firma a fost spartă, ci pentru că nu avea măsurile de bază care ar fi trebuit să existe.

E o veste, de fapt, bună: același set de măsuri te apără pe ambele fronturi deodată. Reduci șansa de a fi spart și, dacă totuși ești, arăți că ai fost diligent, ceea ce schimbă complet discuția cu autoritatea. Despre cum se leagă o breșă de o sancțiune și ce sume sunt în joc am scris pe larg în articolul despre amenzile GDPR pentru firmele sparte.

Cele trei riscuri concrete

Ca să nu rămânem în generalități, iată cum arată pericolul în viața de zi cu zi a unei firme de contabilitate, plus unde poți citi mai mult despre fiecare.

Primele două le tratezi în detaliu în ghidul despre ce faci în primele 24 de ore după un atac ransomware, iar pe a treia, în ghidul despre frauda cu factură falsă și IBAN schimbat.

Măsurile minime care te apără

Nu ai nevoie de un buget de bancă, ci de igiena de securitate pe care orice firmă serioasă ar trebui să o aibă. Acestea sunt măsurile care contează cel mai mult pentru o firmă de contabilitate.

Nu am om de IT. Cum acopăr partea de securitate?

E situația majorității firmelor mici de contabilitate, și e perfect normal. Nu trebuie să angajezi pe nimeni. Un furnizor gestionat de securitate sau un vCISO îți pune la punct măsurile de bază, îți monitorizează sistemele și se ocupă de backup, de răspunsul la incident și de dovezile cerute la un control sau de un client. Plătești un serviciu lunar, nu un salariu, și acoperi exact cerințele legale și practice.

Cum alegi un astfel de partener, fără să plătești de două ori și fără să confunzi conformitatea cu securitatea reală, am detaliat în ghidul despre cum alegi o firmă de securitate cibernetică.