Б/У маршрутизаторы содержат корпоративные секреты!

Специалисты по безопасности ESET провели эксперемент и купили 18 бывших в употреблении маршрутизаторов разных моделей: Cisco, Fortinet, Juniper Networks.

Девять устройств остались такими же, какими их оставили владельцы, и оказались полностью доступны и только пять устройств, были должным образом стерты (почищены). Два были зашифрованы, один был мертв, а один был зеркальной копией другого устройства.

Все девять незащищенных устройств содержали учетные данные для VPN организации, учетные данные для службы защищенной сетевой связи или хешированные пароли корневого администратора!

Все устройства содержали достаточно идентифицирующих данных, чтобы определить, кто был предыдущим владельцем или оператором маршрутизатора!

Восемь из девяти незащищенных устройств содержали ключи аутентификации между маршрутизаторами и информацию о том, как маршрутизатор подключался к определенным приложениям, используемым предыдущим владельцем!

Четыре устройства предоставили учетные данные для подключения к сетям других организаций, таких как доверенные партнеры, соавторы или другие третьи лица!

Три содержали информацию о том, как объект может подключиться в качестве третьей стороны к сети предыдущего владельца!

И два непосредственно содержали данные о клиентах!

Поскольку подержанное оборудование продается со скидкой, киберпреступники потенциально могут инвестировать в покупку бывших в употреблении устройств, чтобы извлечь из них информацию и доступ к сети, а затем использовать эту информацию самостоятельно или перепродать ее!

Исследователи ESET говорят, что они обсуждали, публиковать ли свои выводы, потому что не хотели давать киберпреступникам новые идеи, но они пришли к выводу, что повышение осведомленности об этой проблеме является более насущным.

Восемнадцать маршрутизаторов, это крошечная выборка из миллионов корпоративных сетевых устройств, циркулирующих по всему миру на рынке перепродажи. Многие исследователи говорят, что они неоднократно сталкивались с теми же проблемами в своей работе.

Источник: Телеграмм канал "Чёрный треугольник"