Veel kleine en middelgrote bedrijven beschouwen zichzelf niet als een interessant doelwit voor cybercriminelen. Ze denken dat er bij hen maar weinig te halen valt en maken zich daarom geen zorgen. Een misvatting zo blijkt regelmatig. Verizon stelt in haar Data Breach Investigation Report dat de meeste aanvallen opportunistisch van aard zijn; niet gericht op de grote en bekende namen, maar op vooral op diegenen die onvoorbereid zijn. Dit is ook aangetoond door bijvoorbeeld de WannaCry en NotPetya ransomware aanvallen. Talloze bekende en minder bekende (Nederlandse) bedrijven werden getroffen. Niet omdat ze doelwit waren, maar omdat ze niet waren voorbereid en beveiliging van hun cruciale infrastructuur niet afdoende op de agenda hadden staan.
Daarnaast zien we steeds meer dat de kleinere bedrijven indirect doelwit worden. Als toeleverancier van componenten of diensten zijn ze vaak via een beveiligde verbinding direct verbonden met het netwerk van grotere organisaties. Deze zijn vaak het echte doelwit, bijvoorbeeld voor cyberspionage. Toegang tot de systemen van de leverancier betekent dan ook toegang tot de systemen van het werkelijke doelwit. Ook hier is de beveiliging van de keten zo sterk als de zwakste schakel. Veel toeleveranciers zijn zich er niet van bewust dat ze zo een onderdeel van de attack vector kunnen vormen.
