Router doslúžil? Vyradený hardvér skrýva bezpečnostné riziko

Prihlasovacie údaje, citlivé dáta a šifrovacie kľúče

Nedávno prišla k tejto téme spoločnosť ESET s prípadovou štúdiou, ktorá mala za cieľ zistiť, koľko z vyradených routerov stále obsahuje dáta svojich predchádzajúcich majiteľov. Výsledok? Zo skúmanej osemnástky ich bolo riadne vymazaných svojimi predchádzajúcimi majiteľmi iba päť a 72 % skúmaných routerov stále uchovávalo citlivé dáta. Išlo napríklad o prihlasovacie údaje k firemným aplikáciám alebo o prístupové údaje k sieti. Skúmaný hardvér tiež v niektorých prípadoch obsahoval prihlasovacie údaje pre inú zabezpečenú sieťovú komunikačnú službu alebo hashované správcovské heslá. Na niektorých routeroch sa tiež našlo dostatok identifikačných údajov na to, aby bolo možné určiť, kto bol predchádzajúcim vlastníkom alebo prevádzkovateľom routera.

Ešte väčšie obavy vzbudzovali šifrovacie kľúče nájdené v niektorých zariadeniach. Takéto kľúče by v prípade zneužitia mohli potenciálne dešifrovať citlivú komunikáciu alebo umožniť neoprávnený prístup do zabezpečených oblastí siete.

Kyberzločinci vybavení týmito údajmi by mohli podnikať cielené útoky, predávať informácie na dark webe, využiť údaje na špionáž alebo na získanie konkurenčnej výhody pri obchodných rokovaniach.

Reálne hrozby: nejde len o dáta

Nejde len o samotné dáta, ale aj o dopady, ktoré so sebou takýto únik prináša.

1. Zneužitie údajov. Citlivé údaje z vyradených smerovačov dávajú kyberzločincom náskok. Môžu podnikať vysoko cielené phishingové útoky, pričom získané špecifické informácie využívajú na to, aby škodlivá komunikácia vyzerala presvedčivejšie. Napríklad použitím skutočných prihlasovacích údajov alebo konfigurácie siete vo svojich správach môžu zvýšiť pravdepodobnosť, že nič netušiaci zamestnanci kliknú na falošné odkazy alebo stiahnu nebezpečné prílohy.

2. Finančné dôsledky. Dáta nájdené vo vyradenom hardvéri môžu mať hmatateľnú finančnú hodnotu. Na dark webe existuje prosperujúci trh s firemnými prístupovými údajmi. Ich priemerná cena sa môže pohybovať od niekoľkých stoviek do niekoľkých tisíc dolárov. V kombinácii s ďalšími údajmi, ako sú šifrovacie kľúče alebo zoznamy aplikácií, ich hodnota – a pochopiteľne aj potenciálne škody – prudko stúpajú.

3. Pošramotená reputácia. Čo má dnes cenu zlata? Dôvera. Zákazníci, partneri a ďalšie zainteresované strany očakávajú, že firmy budú ich dáta starostlivo chrániť. Akékoľvek pochybenie, najmä také, ktorému možno ľahko predísť, teda napríklad práve nesprávne vyradený hardvér, môže dôveryhodnosť a povesť firmy značne poškodiť.

4. Regulačné a právne dôsledky. V mnohých regiónoch platia prísne predpisy o ochrane osobných údajov, ako je napríklad európske nariadenie GDPR. Spoločnosti, u ktorých sa zistí, že pri likvidácii dát postupujú nedbalo, môžu čeliť vysokým pokutám. Okrem regulačných sankcií, hrozí aj riziko právnych krokov, čo môže viesť napríklad k nároku na odškodnenie, a teda ďalšiemu finančnému zaťaženiu.

5. Nedostatočná informovanosť a angažovanosť. Jedným z najviac znepokojujúcich aspektov, na ktoré výskum upozornil, je zjavný nedostatok informovanosti. A častokrát, aj keď spoločnosti na to, že ich údaje sú takto k dispozícii upozorníte, veľa z nich prejavuje pri riešení tohto problému laxnosť. Takáto nedbalosť rozhodne neprispieva k zlepšovaniu situácie v kybernetickej bezpečnosti a len ukazuje na potrebu neustáleho vzdelávania a osvetových kampaní.

Ako na to? Aktívne a múdro!

Riziká spojené s vyradeným hardvérom sú zrejmé. Dobrou správou však je, že pri dodržovaní správnych postupov im možno celkom ľahko predchádzať. Tu je niekoľko praktických tipov, ako s vyradeným hardvérom nakladať:

1. Vymazanie dát. Pred vyradením akéhokoľvek zariadenia zaistite dôkladné vymazanie všetkých dát. Pozor! Presahuje to rámec jednoduchého obnovenia továrenského nastavenia. Použite špecializovaný softvér alebo služby určené na prepísanie všetkých dátových sektorov. Aj jediný ponechaný súbor môže predstavovať riziko.

2. Fyzické zničenie. U zariadení, ktoré už nie sú funkčné alebo sú príliš staré na to, aby mohli byť znovu použité, zvážte ich fyzické zničenie podľa pravidiel likvidácie pre tento typ odpadu. To znemožní obnovenie dát. Aj keď sa to môže zdať ako extrémne riešenie, je to spoľahlivý spôsob, ako zabrániť úniku dát z vyradeného hardvéru.

3. Šifrovanie. Zašifrované údaje predstavujú ďalšiu vrstvu zabezpečenia. Aj keď sa zariadenie dostane do nesprávnych rúk, zašifrované dáta zostanú bez dešifrovacieho kľúča nedostupné. Šifrovanie citlivých dát zaraďte medzi bežné postupy, najmä pri zariadeniach, u ktorých je vyšší predpoklad na vyradenie alebo výmenu.

4. Pravidelné audity. Pravidelne vykonávajte audit inventára hardvéru. Identifikujte zariadenia, ktoré sa už nepoužívajú alebo majú byť vymenené. Starostlivým sledovaním hardvérových prostriedkov môžete zaistiť ich včasnú a bezpečnú likvidáciu.

5. Certifikácia. Spolupracujte s firmami zaoberajúcimi sa likvidáciou elektronického odpadu, ktoré majú certifikáty pre likvidáciu dát. Tieto certifikácie svedčia o ich odbornosti a o tom, že dodržiavajú osvedčené postupy v oblasti bezpečnosti dát.

6. Školenia zamestnancov. Školte všetkých zamestnancov, najmä tých v IT a na vedúcich pozíciách, v tom, ako hardvérový odpad správne likvidovať. Na pravidelných seminároch alebo školeniach sa dozvedia o najnovších hrozbách a o osvedčených postupoch v tejto oblasti.

7. Dokumentované protokoly. Vytvorte jasné a zdokumentované protokoly pre likvidáciu hardvéru. Tie by mali zahŕňať všetky kroky, od vymazania dát až po fyzickú likvidáciu. Existencia stanoveného protokolu zaisťuje konzistenciu a znižuje pravdepodobnosť omylu alebo nedbalosti.

8. Aktualizované informácie. Svet kybernetickej bezpečnosti ide neustále dopredu. Objavujú sa nové hrozby a staré sa vyvíjajú. Zaujímajte sa o najnovšie trendy, hrozby a postupy, ktoré súvisia s likvidáciou hardvéru. Predplatné publikácií o kybernetickej bezpečnosti, účasť na seminároch alebo spolupráca s odborníkmi vás udrží v obraze.

Žijeme v zložitom prostredí digitálneho veku, a preto je úplne jasné, že kybernetická bezpečnosť nie je len záležitosťou IT, ale základným pilierom každej úspešnej firmy. A mal by to byť práve manažment, ktorý nesie hlavnú zodpovednosť za implementáciu a udržiavanie dostatočne robustných kyberbezpečnostných praktík a postupov.

Vyššie popísané skutočnosti týkajúce sa vyradeného hardvéru sú dôraznou pripomienkou toho, že hrozby sa môžu objaviť aj na tých najneočakávanejších miestach. Čelíme mnohým výzvam, od sofistikovaných hackerských pokusov až po útoky ransomwaru, ale často skrytá hrozba číha vo veciach, pri ktorých by sme to nepredpokladali. Ako je napríklad starý router alebo tlačiareň.

Jedným z možných spôsobov, ako znížiť riziká spojené s vyradeným hardvérom, je migrácia dát a aplikácií do cloudu. Cloudové riešenia často ponúkajú robustné bezpečnostné protokoly a sú pravidelne aktualizované, čo minimalizuje riziko úniku dát.

Ďalším stupňom ochrany môže byť Next Generation Firewall, ktorý poskytuje viacúrovňovú ochranu, vrátane ochrany pred sieťovými útokmi, malwarom a únikom dát. Filtruje obsah predtým, než vstúpi do vašej siete, čo ju robí priechodnejšou a bezpečnejšou.

Nejde len o to, aby si spoločnosti zaobstarali firewally a systémy detekcie útokov a zašifrovali dáta. Riešením je holistický prístup na všetkých úrovniach firmy, od rozhodovania najvyššieho vedenia až po každodenné postupy jednotlivých zamestnancov.

Čo si z článku odniesť?

• Hoci firmy investujú do softvérovej bezpečnosti, často zabúdajú na fyzickú bezpečnosť hardvéru. Staré tlačiarne, routery a skenery často obsahujú citlivé informácie, ktoré môžu predstavovať riziko.

• Tieto zariadenia totiž môžu uchovávať aj po vyradení citlivé dáta, napríklad kópie dôverných dokumentov alebo z nich útočníci môžu získať prístup do firemných sietí.

• Neoprávnený prístup môže viesť k úniku dát, finančným stratám, poškodeniu povesti, cieleným kybernetickým útokom a ďalším negatívnym dopadom.

• Citlivé informácie môžu byť predané na dark webe a spoločnosti môžu čeliť pokutám alebo aj žalobám.