Şirketler hazine kıymetindeki bilgilerini ikinci el aygıt fiyatına satıyor

ESET, kullanılmayan ve ikinci el piyasasında satılan yönlendiricilerle ilgili yeni araştırmasını duyurdu.

Dijital güvenlikte dünya önderi olan ESET, kullanılmayan ve ikinci el piyasasında satılan kurumsal ağ aygıtları olan yönlendiricilerle (router) ilgili yeni araştırmasını açıkladı. ESET, 16 farklı ağ aygıtından gelen yapılandırma bilgilerini inceledikten sonra, bunların yüzde 56’dan fazlasının hassas şirket bilgileri taşıdığını tespit etti. 

En kolay tarifi ile iki ağ ortasında inançlı bir formda data transferi sağlamak için kullanılan donanımsal aygıtlar olan yönlendiriciler bugün orta ve büyük ölçekteki her şirket tarafından kullanılıyor. ESET’in  gerçekleştirdiği araştırma kapsamında ikinci el piyasasından satın aldığı yönlendiricilerin yüzde 56’dan fazlası, kurumsal kimlik bilgileri, VPN detayları, kriptografik anahtarlar ve daha birçok hassas datadan oluşan bir hazine içeriyor. Bu bilgiler yanlış ellere geçtiğinde  veri ihlaline yol açabilecek ve şirketi, ortaklarını ve müşterilerini riske atabilecek bir siber akına neden olabilir. 

Tüm yapılandırma bilgilerinin olduğu bu dokuz aygıtta tıpkı vakitte yüzde 22 oranında müşteri verisi, yüzde 33 oranında ağa üçüncü taraf irtibatlarının erişim sağlamasına yarayacak datalar, yüzde 44 oranında emniyetli bir taraf olarak öbür ağlara bağlanmak için kimlik bilgileri, yüzde 89 oranında muhakkak uygulamalara mahsus ilişki detayları, yüzde 89 oranında yönlendiriciden yönlendiriciye kimlik doğrulama anahtarları,  yüzde 100 oranında bir yahut daha fazla IPsec yahut VPN kimlik bilgisi yahut hashlenmiş root parolalar ve yeniden yüzde 100 oranında eski sahibini tespit etmek için kâfi data yer alıyordu. 

Şirketlerin planları istenmeyen bireylerin eline çarçabuk geçebilir

Projeyi yöneten ESET Güvenlik Araştırmacısı Cameron Camp şu bilgileri paylaştı: “Tespit ettiklerimizin potansiyel tesiri son derece tasa verici  ve bir ikaz niteliğinde. Orta ölçekli ve kurumsal şirketlerin, eski aygıtlarını kullanım dışı bırakmak için katı güvenlik tedbirleri almasını bekliyorduk, lakin durum tam zıddı tarafta gelişti. İkinci el piyasasından aldığımız aygıtların birçoklarında şirketin dijital planının yanı sıra temel ağ bilgileri, uygulama bilgileri, kurumsal kimlik bilgileri ve ortaklar, satıcılar ve müşteriler hakkında bilgiler yer alıyor. Bu nedenle kuruluşlar kullanım dışı bıraktıkları aygıtlarda hangi dataların kaldığı konusunda daha dikkatli olmalıdır.” 

Kuruluşlar, çoklukla dijital ekipmanın inançlı bir biçimde imha edilmesini yahut geri dönüştürülmesini ve bunların içerdiği bilgilerin silinmesini doğrulamakla misyonlu üçüncü taraf şirketler aracılığıyla eskiyen teknolojiyi geri dönüştürüyor. Bir e-atık şirketinden kaynaklanan kusur yahut şirketin kendi imha süreçlerinden kaynaklanan bir kusur olsun, yönlendiricilerde birçok bilgiyi açığa çıkarıyor. 

ESET Türkiye Genel Müdür Yardımcısı Erkan Tuğral yapılan araştırma ile ilgili şu değerlendirmeyi yaptı: “Birçok iş yeri ortamında artık kullanılmayan yönlendiriciler imha edilmeden yenisi ile değiştiriliyor. Lakin atılan yönlendiricinin mukadderatı, yerini alan yeni aygıtın problemsiz bir halde çalışması kadar değerli. Ne yazık ki, birden fazla vakit bunu umursamıyoruz.  ESET araştırma takımı, bir test ortamı yaratmak için birkaç kullanılmış yönlendirici satın aldı. Satın alınan aygıtların birçoğunda daha evvel kullanılan yapılandırmalar silinmemişti ve daha da berbatı aygıtlardaki bilgilerin silinmediğini öğrendiklerinde takım üyeleri şaşkınlığa uğradı. Zira bu datalar ağ yapılandırmalarının detaylarının yanı sıra yönlendiricinin evvelki sahiplerini belirlemek için de kullanılabilir. 

Tespit edilen bilgiler yönlendiricilerin ilişkin olduğu kuruluşlarla paylaşıldı.

ESET’ten Cameron Camp ve Tony Anscombe şu bilgileri paylaştılar: “Bu araştırmadaki yönlendiriciler, orta ölçekli işletmelerden çeşitli bölümlerdeki global işletmelere (veri merkezleri, hukuk firmaları, üçüncü taraf teknoloji sağlayıcılar, üretim ve teknoloji şirketleri, yaratıcı firmalar ve yazılım geliştiriciler) kadar değişik birçok kuruluştan alındı. ESET bu araştırma çerçevesinde tespit ettiği bilgileri, yönlendiricilerin ilişkin olduğu kuruluşlarla  paylaştı. Buradaki gaye, şirketlerin kullandıkları aygıtların nezaret zincirindeki potansiyel risklerinden haberdar olmalarını sağlayarak işbirliği yapmaktı. Bilgi güvenliği ihlal edilmiş kuruluşlardan kimileri, ESET’in ısrarlı bağlantı kurma teşebbüslerine şaşırtan formda reaksiyonsuz kalırken, başkaları olayı tam bir güvenlik ihlali olarak değerlendirip dikkate aldı. Kuruluşlara, aygıtları imha etmek için sağlam, uzman bir üçüncü taraf firma ile mutabakatlarını yahut kullanım dışı bırakma sürecini kendileri yapacaklarsa gerekli tüm tedbirleri aldıklarından emin olmalarını hatırlatıyoruz. Bu durum, eski yönlendiricilerden, sabit şoförlerden ve ağın kesimi olan rastgele bir aygıta kadar geniş bir yelpazeyi kapsıyor. 

Bu araştırmadaki kimi kuruluşlar muhtemelen imha hizmeti veren, tanınmış firmalarla mukavele yaptıklarını düşündü, lakin bilgileri yeniden de sızdırıldı. Bunu göz önünde bulundurarak kuruluşların, bir aygıt fizikî olarak binadan çıkartılmadan evvel, içindeki dataları kaldırmak için üretici yönergelerine uymalarını öneriyoruz; bu, birçok BT işçisinin üstesinden gelebileceği kolay bir iştir. Bu durumun muhtemel sonuçlarını  ciddiye almanızı tekrar hatırlatıyoruz. Aksi halde maliyetli bir data ihlali ve değerli bir prestij kaybıyla karşı karşıya kalabilirsiniz.” 

Kaynak: (BYZHA) Beyaz Haber Ajansı