Yalnızca 100 Dolara Tamamen Kurumsal Sırlarla Dolu Kullanılmış Yönlendiriciler

ESET’teki araştırmacılar, piyasada yeniden satılan donanımın IPsec veya VPN kimlik bilgileri, karma kök parolaları ve çok daha fazlası gibi oldukça gizli bilgiler içerdiğini keşfetti.

Bilgisayar ekipmanlarının ikinci el satışı, bilgisayarların ve donanım parçalarının tanıtılmasından bu yana yürürlüktedir.

Her şirket, hizmetten çıkarma prosedürleri için yönetilen hizmet sağlayıcılarına veya e-atık yüklenicilerine güvenir.

Ne yazık ki, kurumsal yönlendiriciler veya diğer ağ yönetim cihazları gibi bu ekipman, gizli bilgilerin ifşa edilmesine yol açan büyük hizmetten çıkarma ve silme prosedürlerine sahip değildi.

Araştırmacılar ayrıca, bu yüksek düzeyde sınıflandırılmış kurumsal bilgi ekipmanının yalnızca 100 – 150 $ arasında yeniden satıldığından bahsetti.

Altyapıya saldırmayı planlayan tehdit aktörleri, saldırı planlamak için kullanabilecekleri bu bilgiyi yalnızca 100 ABD Doları karşılığında alabilirler.

Bir başka ezici gerçek de, bu ekipmanın bazen, ekipmanın kullanımdan kaldırılması sırasında bu bilgilerin nasıl silineceğinin farkında olması gereken bulut bilişim işletmeleri veya veri merkezleri gibi kuruluşlara ait olmasıdır.

Rapora göre, analiz sırasında ortaya çıkan bilgiler arasında şunlar yer alıyor:

• Müşteri verileri – %22
• Ağa üçüncü taraf bağlantılarının verileri – %33
• Güvenilir taraf olarak diğer ağlara bağlanmak için kimlik bilgileri – 44
• Belirli uygulamalar için bağlantı detayları – %89
• Yönlendiriciden yönlendiriciye kimlik doğrulama anahtarları – %89
• IPsec veya VPN kimlik bilgileri veya karma kök parolalar – %100
• Eski sahibi/operatörü tanımlayan veriler – %100

Raporda ayrıca, araştırmacıların analizde verileri ifşa olan şirketlerle iletişim kurmasının zor olduğundan da bahsediliyor.

Bu veri maruziyetinin çoğu, potansiyel bir veri ihlaline yol açabilecek insan hatasından kaynaklanmaktadır.

“Araştırmacılarımızın şirketin hassas ağ yapılandırma verilerini içeren bir cihaza sahip olduğunu ifşa etmek için ilgili şirketlerle iletişime geçmeye çalışırken ekibin ifşa sürecinde yaşadığı zorluk da aynı derecede endişe vericiydi.”, ESET tarafından yayınlanan raporu okur.

ESET, test ve analitik amaçlar için 18 yönlendirici kullandı. ESET araştırmacıları tarafından analiz için kullanılan yönlendiricilerin listesi aşağıda verilmiştir.