I dispositivi di rete usati spesso contengono dati sensibili delle aziende precedenti, mettendo a rischio la sicurezza delle informazioni. Uno studio recente ha rivelato che oltre la metà dei router aziendali di seconda mano acquistati dai ricercatori non era stata adeguatamente ripulita prima della vendita.
Sicurezza dei router di seconda mano
I ricercatori della società di sicurezza ESET hanno acquistato 18 router usati di diversi modelli prodotti da tre importanti fornitori: Cisco, Fortinet e Juniper Networks. Tra questi, nove erano stati lasciati intatti dai loro precedenti proprietari e completamente accessibili, mentre solo cinque erano stati correttamente ripuliti. Due erano criptati, uno non funzionava e uno era una copia speculare di un altro dispositivo.
Dati sensibili nei dispositivi non protetti
Tutti e nove i dispositivi non protetti contenevano credenziali per la VPN dell’organizzazione, credenziali per un altro servizio di comunicazione di rete sicuro o password di amministratore root crittografate. Inoltre, includevano abbastanza dati identificativi per determinare chi fosse stato il precedente proprietario o gestore del router. Otto dei nove dispositivi non protetti contenevano chiavi di autenticazione router-to-router e informazioni su come il router si connetteva a specifiche applicazioni utilizzate dal precedente proprietario. Quattro dispositivi esponevano credenziali per connettersi alle reti di altre organizzazioni, come partner di fiducia, collaboratori o altre terze parti. Tre contenevano informazioni su come un’entità potesse connettersi come terza parte alla rete del precedente proprietario, e due contenevano direttamente dati dei clienti.
Riflessioni sulla sicurezza delle informazioni
Cameron Camp, il ricercatore di sicurezza di ESET che ha guidato il progetto, afferma che un router principale tocca tutto ciò che riguarda l’organizzazione, rendendo estremamente facile impersonare l’organizzazione stessa. Camp sottolinea l’importanza di pulire adeguatamente i dispositivi di rete prima di rivenderli o passarli ad altri, al fine di proteggere le informazioni sensibili e mantenere la sicurezza delle reti aziendali.