ESET, leader europeo globale nel mercato della cybersecurity, ha presentato una nuova ricerca sui dispositivi di rete aziendali smaltiti e venduti sul mercato secondario. ESET ha scoperto che oltre il 56% - nove router - conteneva dati aziendali sensibili.
Delle nove reti che avevano a disposizione dati di configurazione completi:
- il 22% conteneva dati dei clienti
- il 33% esponeva dati che consentivano connessioni di terze parti alla rete
- il 44% conteneva credenziali per la connessione ad altre reti come soggetti attendibili
- l'89% riportava i dettagli delle connessioni per applicazioni specifiche
- l'89% conteneva chiavi di autenticazione router-to-router
- Il 100% conteneva una o più credenziali IPsec o VPN o password root con hash
- Il 100% conteneva dati utili per identificare il precedente proprietario/operatore.
“L'impatto potenziale dei risultati raccolti attraverso questa analisi è estremamente preoccupante e dovrebbe essere un campanello d'allarme”, ha dichiarato Cameron Camp, il ricercatore di ESET che ha guidato il progetto. “Diamo per scontato che le aziende di medie e grandi dimensioni adottino una serie di iniziative di sicurezza rigorose per la dismissione dei dispositivi, ma abbiamo riscontrato il contrario. Le organizzazioni devono essere molto più consapevoli di ciò che rimane sui dispositivi che dismettono, poiché la maggior parte dei device che abbiamo recuperato dal mercato secondario conteneva un'impronta digitale dell’azienda coinvolta, tra cui, ma non solo, informazioni di rete fondamentali, dati applicativi, credenziali aziendali e informazioni su partner, fornitori e clienti”.
Le organizzazioni spesso riciclano i device obsoleti attraverso società terze che hanno il compito di verificare la distruzione o il riciclo sicuro delle apparecchiature digitali e lo smaltimento dei dati in esse contenuti. Sia che si tratti di un errore di chi si occupa di rifiuti elettronici sia che si tratti dei processi di smaltimento dell'azienda stessa, sui router è stata trovata una serie di dati, tra cui: Dati di terze parti; Partner di fiducia; Dati dei clienti; Applicazioni specifiche; Informazioni di routing di base; Operatori affidabili.