ESET, kullanılmayan ve ikinci el router’larla ilgili yeni araştırmasını duyurdu.
Dijital güvenliğin dünya lideri ESET, kullanılmayan ve ikinci el pazarında satılan kurumsal ağ cihazları olan router’larla ilgili yeni araştırmasını duyurdu. ESET, 16 farklı ağ cihazından gelen yapılandırma bilgilerini inceledikten sonra bunların yüzde 56’sından fazlasının hassas şirket verileri taşıdığını tespit etti.
En basit tanımıyla iki ağ arasında güvenli bir şekilde veri aktarımı yapmak için kullanılan donanım cihazları olan router’lar günümüzde orta ve büyük ölçekli her şirket tarafından kullanılmaktadır. ESET’in araştırmasının bir parçası olarak ikinci el pazarından satın alınan yönlendiricilerin yüzde 56’sından fazlası, kurumsal kimlik bilgileri, VPN ayrıntıları, kriptografik anahtarlar ve daha pek çok hassas veri hazinesi içeriyor. Bu bilgiler yanlış ellere geçerse, veri ihlaline yol açabilecek ve şirketi, ortakları ve müşterileri riske atabilecek bir siber saldırıya yol açabilir.
Aynı zamanda tüm konfigürasyon verilerinin bulunduğu bu dokuz cihazda yüzde 22 müşteri verisi, yüzde 33 üçüncü şahıs kişilerin ağa erişmesini sağlayacak bilgiler, yüzde 44 kimlik bilgisi güvenilir taraf olarak diğer ağlara bağlanmak için kullanılıyor. , yüzde 89’u belirli uygulamalara özel iletişim bilgileri, yüzde 89’u yönlendiriciden yönlendiriciye kimlik doğrulama anahtarları, yüzde 100’ü bir veya daha fazla IPsec veya VPN kimlik bilgisi veya hashlenmiş root şifresi ve yüzde 100’ü bir önceki sahibini yeniden belirlemeye yetecek kadar bilgi içeriyordu.
Şirketlerin planları hızla istenmeyen kişilerin eline geçebilir.
Projeye öncülük eden ESET Güvenlik Araştırmacısı Cameron Camp şunları paylaştı: “Belirlediğimiz şeyin potansiyel etkisi son derece endişe verici ve bir uyarı. Orta ölçekli ve kurumsal şirketlerin eski cihazlarını devre dışı bırakmak için katı güvenlik önlemleri almalarını bekliyorduk, ancak tam tersi oldu. Kullanılmış piyasadan satın aldığımız cihazların birçoğu, şirketin dijital planının yanı sıra temel ağ bilgileri, uygulama verileri, kurumsal kimlik bilgileri ve ortaklar, satıcılar ve müşteriler hakkında bilgiler içerir. Bu nedenle kuruluşların devre dışı bıraktıkları cihazlarda hangi verilerin kaldığı konusunda daha dikkatli olmaları gerekiyor.”
Kuruluşlar, dijital ekipmanın güvenilir bir şekilde imha edildiğini veya geri dönüştürüldüğünü ve içerdiği verilerin silindiğini doğrulama misyonuyla, genellikle üçüncü taraf şirketler aracılığıyla eski teknolojiyi geri dönüştürür. İster bir e-atık şirketinin hatası, ister şirketin kendi imha süreçlerindeki bir kusur olsun, yönlendiriciler çok fazla veriyi açığa çıkarır.
ESET Türkiye Genel Müdür Yardımcısı Erkan Tuğral Yapılan araştırmayla ilgili şu değerlendirmeyi yaptı: “Birçok iş yeri ortamında eskimiş yönlendiriciler yok edilmeden yenileri ile değiştiriliyor. Ancak atılan router’ın akıbeti, yerini alan yeni cihazın sorunsuz çalışması kadar değerlidir. Ne yazık ki, bunu bir kereden fazla umursamıyoruz. ESET araştırma grubu, bir test ortamı oluşturmak için birkaç kullanılmış yönlendirici satın aldı. Satın alınan cihazların birçoğunda daha önce kullanılan konfigürasyonlar silinmemişti ve daha da kötüsü, cihazlardaki bilgilerin silinmediğini öğrenen ekip üyeleri şaşırmıştı. Çünkü bu bilgiler, yönlendiricinin önceki sahiplerini ve ayrıca ağ yapılandırmalarının ayrıntılarını belirlemek için kullanılabilir.
Tespit edilen bilgiler, yönlendirenlerin ilgili olduğu kuruluşlarla paylaşıldı.
ESET’ten Cameron Camp ve Tony Anscombe şunları paylaştı: “Bu araştırmadaki itici güçler, orta ölçekli işletmelerden çok şubeli küresel işletmelere (veri merkezleri, hukuk firmaları, üçüncü taraf teknoloji sağlayıcılar, üretim ve teknoloji şirketleri, yaratıcı firmalar ve yazılım geliştiriciler) kadar uzanıyor. kurumdan alınmıştır. ESET, bu araştırma çerçevesinde belirlediği bilgileri, yönlendiricilerin ilişkili olduğu kuruluşlarla paylaştı. Amaç, şirketlerin kullandıkları cihazların gözetim zincirindeki potansiyel risklerin farkında olmalarını sağlayarak iş birliği yapmaktı. Güvenliği ihlal edilen kuruluşlardan bazıları, ESET’in ısrarlı iletişim kurma girişimlerine şaşırtıcı bir şekilde tepkisiz kalırken, diğerleri olayı tam bir güvenlik ihlali olarak değerlendirdi. Kuruluşlara, cihazların elden çıkarılması veya hizmetten çıkarma sürecini kendileri yapacaklarsa gerekli tüm önlemleri almaları için güvenli, yetkin bir üçüncü taraf şirketle anlaştıklarından emin olmalarını hatırlatırız. Bu, eski yönlendiricilerden, sabit sürücülerden ve ağın modülü olan rastgele herhangi bir cihazdan değişir.
Bu araştırmadaki bazı kuruluşlar, imha hizmetleri sağlayan tanınmış şirketlerle muhtemelen sözleşme yaptıklarını düşündüler, ancak yine de verileri sızdırıldı. Bunu göz önünde bulundurarak, kuruluşların bir cihaz binadan fiziksel olarak kaldırılmadan önce bilgileri kaldırmak için üretici yönergelerini izlemesini öneririz; bu, birçok BT uzmanının üstesinden gelebileceği kolay bir iştir. Bu durumun olası sonuçlarını ciddiye almanızı tekrar hatırlatırız. Aksi takdirde, maliyetli bir veri ihlali ve değerli bir prestij kaybıyla karşı karşıya kalabilirsiniz.”
Kaynak: (BYZHA) Beyaz Haber Ajansı
