Router aziendali riciclati, per ESET la metà contiene informazioni riservate

ESET ha condotto una nuova indagine sui dispositivi di rete usati dalle imprese e poi rivenduti sul mercato dell’usato: oltre la metà dei router aziendali riciclati conteneva informazioni riservate. Un grosso problema per la sicurezza e per la privacy delle aziende.

ESET: il 56% dei router aziendali riciclati contiene dati riservati

Analizzando i dati di configurazione di 16 dispositivi di rete, ESET ha rilevato che più della metà – nove router – conservava dati sensibili relativi all’attività aziendale.

Tra le nove reti che disponevano di dati di configurazione completi:

• il 22% includeva dati dei clienti
• il 33% mostrava dati che permettevano connessioni di terze parti alla rete
• 44% conteneva credenziali per la connessione ad altre reti come partner fidati
• l’89% riportava i dettagli delle connessioni per applicazioni specifiche
• l’89% conteneva chiavi di autenticazione router-to-router
• Il 100% conteneva una o più credenziali IPsec o VPN o password root con hash
• Il 100% conteneva dati utili per identificare il precedente proprietario/operatore.

Cameron Camp, il ricercatore di ESET, spiega: “L’impatto potenziale dei risultati raccolti attraverso questa analisi è estremamente preoccupante e dovrebbe essere un campanello d’allarme. Diamo per scontato che le aziende di medie e grandi dimensioni adottino una serie di iniziative di sicurezza rigorose per la dismissione dei dispositivi, ma abbiamo riscontrato il contrario. Le organizzazioni devono essere molto più consapevoli di ciò che rimane sui dispositivi che dismettono, poiché la maggior parte dei device che abbiamo recuperato dal mercato secondario conteneva un’impronta digitale dell’azienda coinvolta, tra cui, ma non solo, informazioni di rete fondamentali, dati applicativi, credenziali aziendali e informazioni su partner, fornitori e clienti”.

Attenzione al riciclo

Le organizzazioni spesso riciclano i dispositivi obsoleti tramite società terze che hanno il compito di verificare la distruzione o il riciclo sicuro delle apparecchiature digitali e lo smaltimento dei dati in esse contenuti. Ma ciò non è successo nei router riciclati analizzati da ESET. Che si tratti di un errore di chi si occupa di rifiuti elettronici o che si tratti dei processi di smaltimento dell’azienda stessa, sui router sono stati trovati diversi tipi di dati, tra cui:

• Dati di terze parti: come dimostrato da attacchi informatici reali, una violazione della rete di un’azienda può propagarsi ai clienti, ai partner e ad altre aziende collegate.
• Partner fidati: i partner di fiducia potrebbero accettare certificati e token crittografici presenti sui dispositivi. Questo consente un attacco adversary in the middle (AitM) con credenziali attendibili.
• Dati dei clienti: ci sono situazioni in cui i core router si collegano a delle basi di dati che contengono informazioni specifiche sui clienti, a volte memorizzate in loco. Questo può comportare dei rischi per la sicurezza se un hacker riuscisse a entrare in possesso di dati sensibili sui clienti stessi.

Applicazioni e informazioni

Nei router, ESET ha trovato anche Applicazioni specifiche: sono state trovate nelle configurazioni dei dispositivi delle mappe complete delle principali piattaforme applicative usate da determinate organizzazioni, sia in locale sia in cloud. Si tratta di applicazioni che riguardano diversi ambiti. Andiamo dalla posta elettronica aziendale alle aree riservate ai clienti, dalla sicurezza degli edifici fisici e così via. Inoltre, i ricercatori di ESET sono stati in grado di stabilire quali porte e quali host usano le applicazioni per comunicare, quali sono considerate affidabili e quali no. A causa della granularità delle applicazioni, le vulnerabilità note potrebbero essere sfruttate attraverso la topologia di rete nel caso in cui un attaccante avesse già effettuato la mappatura.

Estratte anche alcune informazioni di routing di base: dalla rete principale al peering BGP, OSPF, RIP e altri protocolli. ESET ha rinvenuto layout dei processi interni di varie organizzazioni, con informazioni sulla topologia di rete che potrebbero essere sfruttabili se nelle mani di un nemico. Le configurazioni contenevano anche le localizzazioni di molti uffici e operatori remoti, compresa la loro relazione con la sede centrale – altri dati molto preziosi per potenziali nemici.

Inoltre, dall’analisi dei router aziendali fatta da ESET, sono emersi i dispositivi con credenziali aziendali che potrebbero essere decifrate o riutilizzate. Tra cui i login degli amministratori, dettagli delle VPN e chiavi crittografiche, che consentirebbero ai hacker di diventare soggetti fidati e di ottenere l’accesso alla rete.

ESET analizza i router riciclati: una questione di sicurezza e di responsabilità

Tony Anscombe, Chief Security Evangelist di ESET, spiega: “Esistono processi ben documentati per la corretta dismissione dell’hardware, ma questa ricerca dimostra che molte aziende non li seguono rigorosamente. Sfruttare una vulnerabilità o fare spearphishing per ottenere credenziali non è facile. Ma i risultati dell’indagine dimostrano che esiste un modo molto semplice per arrivare a questi dati. Invitiamo le organizzazioni coinvolte nello smaltimento dei dispositivi e nella loro rivendita a esaminare attentamente i processi e ad assicurarsi che siano conformi ai più recenti standard NIST per la bonifica dei supporti”.

ESET ha esaminato i router di diverse organizzazioni di varie dimensioni e ambiti (data center, studi legali, provider di tecnologia di terze parti, aziende di produzione e IT, aziende creative e sviluppatori di software). Durante la ricerca, ESET ha condiviso i risultati con le organizzazioni identificate, alcune delle quali molto note. E ha collaborato con loro per assicurarsi che fossero consapevoli dei potenziali rischi legati alla catena di custodia dei dispositivi. Tuttavia, alcune aziende compromesse non hanno dato seguito ai numerosi tentativi di comunicazione di ESET. Mentre altre hanno affrontato l’incidente con professionalità, considerandolo come una reale violazione della sicurezza.

La giusta attenzione

ESET ricorda alle organizzazioni di controllare attentamente la terza parte che si occupa dello smaltimento dei dispositivi. Oppure di adottare tutte le misure necessarie se si occupano personalmente della disattivazione. Questo vale non solo per i router e gli hard disk, ma per tutti i dispositivi che fanno parte della rete.

Molte organizzazioni coinvolte in questa ricerca pensavano probabilmente di aver affidato il compito a operatori sicuri. Ma i loro dati sono ugualmente finiti nelle mani sbagliate. Per questo motivo, ESET consiglia alle organizzazioni di seguire le istruzioni del produttore per eliminare tutti i dati da un dispositivo prima che venga rimosso fisicamente dalla sede. Un’operazione facile che il personale IT può fare. ESET ricorda anche alle organizzazioni di prendere sul serio le notifiche di divulgazione. In caso contrario, potrebbero essere esposte a una costosa violazione dei dati e a una perdita di credibilità.

Potete trovare il White Paper sulla ricerca su WeLiveSecurity.com.

Sicurezza Informatica Pratica: Scopri come proteggerti da frodi, phishing, ransomware, hacker e ladri d'identità anche se non sei un tecnico

• Giuliani, Luca (Autore)

14,80 EUR

Acquista su Amazon