Router riciclati: sono pieni di dati riservati delle aziende

ESET, da oltre 30 anni leader nello sviluppo di software e servizi di sicurezza IT per proteggere aziende, infrastrutture strategiche e utenti finali, ha condiviso i risultati di un’analisi condotta sui router di seconda mano acquistati da vari rivenditori online.

In un altro articolo abbiamo visto quando cambiare router: ESET mostra come in molti casi le aziende si liberino del vecchio router che viene dismesso per poi però essere reinserito nel mercato dell’usato. In molti casi, non essendo applicati protocolli e processi di sicurezza corretti ai fini della dismissione dell’hardware, i router riciclati acquistati sui vari canali contengono ancora dati riservati e informazioni cruciali che non avrebbero dovuto essere diffuse per nessun motivo.

I tecnici di ESET spiegano che esaminando il contenuto di un campione significativo di router usati, alcuni di essi ospitavano ancora dati dei clienti gestiti dall’azienda precedentemente proprietaria del dispositivo di rete, informazioni per effettuare connessioni remote alla rete dell’impresa, credenziali per l’accesso alle reti amministrate da soggetti terzi, dettagli delle connessioni per applicazioni specifiche e chiavi di autenticazione router-to-router.

Cosa ancora più preoccupante, il 100% dei router riciclati che i tecnici ESET hanno verificato contenevano una o più credenziali VPN per l’accesso con vari protocolli (anche in modalità root) oltre a una serie di elementi utili all’identificazione univoca del precedente proprietario/operatore.

I router oggetto della ricerca condotta da ESET provengono da organizzazioni che vanno dalle medie imprese ad aziende globali operanti in svariati settori: data center, studi legali, provider di tecnologia di terze parti, aziende di produzione e IT, aziende creative e sviluppatori di software. La società ha ovviamente provveduto a informare le imprese coinvolte cercando di fornire informazioni utili a infondere consapevolezza sulla gravità dell’incidente e sulle potenziali conseguenze che possono scaturire tenendo comportamenti scorretti. Alcune aziende compromesse non hanno risposto ai ripetuti tentativi di contatto di ESET, mentre altre si sono dimostrate competenti, gestendo l’evento come una vera e propria violazione della sicurezza.

Per evitare problematiche come quella riscontrata da ESET, le organizzazioni devono sempre rivolgersi a una terza parte fidata e competente per smaltire i dispositivi; diversamente, quando queste attività sono gestite internamente, è opportuno prendere tutte le precauzioni necessarie.

Nel caso dei router è sufficiente seguire le linee guida del produttore per effettuare il reset del dispositivo e riportarlo allo stato di fabbrica: un’attività che deve essere scrupolosamente effettuata prima che il prodotto lasci fisicamente la sede dell’azienda. Lo stesso tipo di approccio dovrebbe essere seguito per qualunque tipo di device, con particolare attenzione ai dispositivi di storage, dai quali – a meno di non procedere con un’attenta operazione di cancellazione sicura dei dati – possono comunque essere recuperati dati riservati. Già anni fa raccontavamo che chi vende SSD e altre unità di memoria non cancella tutto lasciando i propri dati potenzialmente in balìa di soggetti terzi non autorizzati.

Nel report ESET pubblicato a questo indirizzo l’azienda mostra i campioni di dati estratti dai router riciclati e mostra le immagini di alcuni dispositivi per il networking appositamente acquisiti per le finalità di indagine.

Lo studio di ESET mette in evidenza come eventuali utenti malintenzionati avrebbero potuto utilizzare i dati contenuti nel router per sferrare attacchi informatici, avviare campagne phishing estremamente efficaci o ricattare le aziende.