Dat blijkt uit een wereldwijd onderzoek van het Internal Research Center van Kaspersky, waarvoor IT-beveiligingsspecialisten in de retailsector in 18 landen zijn ondervraagd. Phishing was volgens het onderzoek de meest voorkomende dreiging: ruim een vijfde van de retailers (21 procent) meldde hiermee te maken te hebben gehad. Ook andere vormen van social engineering kwamen voor, waaronder deepfakes (13 procent), factuur- of betalingsfraude (13 procent), business email compromise (9 procent) en vishing, ofwel telefonische phishing (8 procent). Cyberspionage (19 procent) en het misbruiken van kwetsbaarheden in webapplicaties (18 procent) behoorden eveneens tot de meest gemelde incidenten. Aanvallers richtten zich bij deze incidenten vooral op het stelen van persoonsgegevens van klanten (34 procent) en medewerkers (28 procent).

De meest voorkomende gevolgen van de recente aanvallen op retailers waren diefstal van persoonsgegevens van klanten (28 procent), financiële schade (25 procent) en verstoring van bedrijfs- en operationele processen (25 procent). In een deel van de gevallen waren de gevolgen ernstiger: 19 procent van de retailers kreeg te maken met onherstelbaar gegevensverlies en 16 procent met onomkeerbare schade aan bedrijfsmiddelen of systemen.

Zero Trust, scherpere toegangsrechten en monitoring

Als reactie op het meest schadelijke incident namen organisaties uiteenlopende maatregelen. Het vaakst ging het om de invoering van Zero Trust of het principe van minimale toegangsrechten voor medewerkers, partners en opdrachtnemers (31 procent), het aanscherpen van cloudbeveiliging (30 procent) en de inzet van monitoringsoftware voor IT-beveiliging (30 procent).

Volgens de ondervraagden vormt menselijk handelen de belangrijkste interne risicofactor voor succesvolle cyberaanvallen. Onvoldoende expertise bij IT- en beveiligingspersoneel (27 procent) en een gebrek aan bewustzijn rond beveiliging (27 procent) worden het vaakst genoemd. Ook technische tekortkomingen spelen een rol: verouderde software of hardware en het ontbreken van centrale controle over de IT-infrastructuur worden beide door 23 procent van de respondenten genoemd.

Een gebrek aan bewustzijn rond beveiliging hangt volgens het onderzoek samen met risicovol gedrag op de werkvloer. Meer dan een derde van de respondenten (34 procent) noemde het gebruik van privéapparaten voor werkgerelateerde activiteiten en het opslaan van bedrijfsgegevens daarop als veelvoorkomend probleem. Bijna even vaak, in 33 procent van de bedrijven, gaat het om onzorgvuldig wachtwoordgebruik, zoals zwakke of hergebruikte wachtwoorden, en het zonder beveiligde verbinding aansluiten van bedrijfsapparatuur op openbare wifinetwerken.

Meer budget, meer uitbesteding

Tweeëntachtig procent van de retailers heeft dit jaar het IT-beveiligingsbudget verhoogd. Anders dan in andere sectoren, waar organisaties hun interne IT-teams vooral willen uitbreiden, kiest de retailsector in toenemende mate voor externe IT-beveiligingsdienstverleners. Bijna de helft van deze bedrijven (41 procent) heeft nieuw budget vrijgemaakt voor het uitbesteden van specifieke beveiligingsfuncties, zoals medewerkerstraining, MSSP, MDR en de inzet van technologie voor gegevensbescherming.

"Retail is een zeer dynamische sector: bedrijfsprioriteiten, werklast, infrastructuurvereisten en economische omstandigheden veranderen snel. Om ervoor te zorgen dat cybersecurity deze veranderingen kan bijbenen, kiezen retailers ervoor om externe beveiligingsdienstverleners in te schakelen, waarmee ze toegang krijgen tot de benodigde expertise en technologieën zonder hun interne teams voortdurend te hoeven uitbreiden," zegt Elizaveta Komarova, Solution Architect Finance & Retail bij Kaspersky. "Door een deel van hun cybersecurityfuncties uit te besteden, vertrouwen retailers een externe partner effectief de veerkracht van hun bedrijfsprocessen toe, evenals de financiële risico's die samenhangen met beveiligingsincidenten. Dit maakt het essentieel om vertrouwen te hebben in de ervaring van de leverancier, inclusief een bewezen trackrecord bij retailers van verschillende omvang, en om mogelijke blinde vlekken in de beveiliging weg te nemen door 24/7/365-bescherming. Dit is met name cruciaal tijdens piekperiodes, zoals seizoensuitverkopen, periodes met verhoogde consumentenvraag en feestdagen, wanneer de kosten van elke verstoring bijzonder hoog zijn en interne teams mogelijk beperkt beschikbaar zijn".

Twaalf procent heeft al werkend AI-systeem

Twaalf procent van de retailers beschikt al over een werkend, op large language models gebaseerd systeem, terwijl 83 procent zich momenteel in de discussie-, ontwerp- of pilotfase bevindt. Opvallend is dat 33 procent van de retailbedrijven aangeeft geen risico's te zien in AI, aanzienlijk meer dan het gemiddelde over alle sectoren (18 procent).

"Retail is traditioneel een van de sectoren die het meest openstaat voor nieuwe digitale technologieën. Intense concurrentie, druk op de marges en voortdurend veranderend consumentengedrag geven retailers een directe economische prikkel om technologieën toe te passen die de bedrijfsefficiëntie sneller kunnen verbeteren dan die van hun concurrenten. Dit wordt ook ondersteund door het feit dat retail, in vergelijking met sectoren zoals bankwezen, vaak te maken heeft met minder sectorspecifieke beperkingen bij de invoering van nieuwe digitale oplossingen," aldus Elizaveta. "Bedrijven moeten echter voortdurend de potentiële opbrengsten afwegen tegen het risiconiveau dat ze bereid zijn te accepteren om die opbrengsten te behalen. Hoe actiever een bedrijf nieuwe technologieën gebruikt, hoe belangrijker het wordt om de bijbehorende risico's op een doordachte en gestructureerde manier te beheren. Dit is vandaag de dag bijzonder zichtbaar bij de snelle invoering van kunstmatige intelligentie. Aangezien een ernstig incident kan leiden tot datalekken, operationele verstoring en zware financiële verliezen, moet cybersecurity zich in exact hetzelfde tempo ontwikkelen als het bedrijf zelf".