Los routers de nivel empresarial en el mercado secundario pueden contener información sensible que los delincuentes informáticos podrían aprovechar para acceder a entornos corporativos o obtener datos de clientes. Investigadores han descubierto que, al examinar varios dispositivos de red usados, la mayoría habían sido borrados incorrectamente durante el proceso de desmantelamiento y luego vendidos en línea.
Descubrimiento de datos en routers usados
Los investigadores de la empresa de ciberseguridad ESET compraron 18 routers de nivel core usados y encontraron que aún era posible acceder a los datos de configuración completos en más de la mitad de ellos. Los routers de core son fundamentales para una gran red, ya que conectan todos los demás dispositivos y están diseñados para reenviar paquetes IP a altas velocidades.
Durante el proceso de adquisición, se descubrió que no habían sido limpiados correctamente y contenían datos de configuración de red, así como información que permitía identificar a los anteriores propietarios. Entre los dispositivos adquiridos había cuatro Cisco (ASA 5500), tres Fortinet (serie Fortigate) y once Juniper Networks (puerta de enlace de servicios SRX).
Problemas con la eliminación de datos
En un informe publicado a principios de esta semana, Cameron Camp y Tony Anscombe afirman que uno de los dispositivos murió al llegar y fue descartado de las pruebas. Además, dos de ellos eran una réplica del otro y se contaron como uno solo en los resultados.
De los 16 dispositivos restantes, solo cinco se habían borrado correctamente y solo dos se habían reforzado, lo que dificultó el acceso a algunos datos. En la mayoría de ellos fue posible acceder a los datos de configuración completos, que incluyen información sobre el propietario, cómo se configuró la red y las conexiones entre otros sistemas.
Datos sensibles revelados
Los investigadores afirman que algunos routers conservaban información de clientes, datos que permitían conexiones de terceros a la red e incluso credenciales para conectarse a otras redes como parte de confianza. Además, ocho de los nueve routers que expusieron datos de configuración completos también contenían claves y hashes de autenticación entre routers.
La lista de secretos corporativos se extendía a mapas completos de aplicaciones sensibles alojadas localmente o en la nube. Algunos ejemplos incluyen Microsoft Exchange, Salesforce, SharePoint, Spiceworks, VMware Horizon y SQL.
Riesgos para las redes corporativas
Este tipo de información privilegiada suele estar reservada a personal con credenciales privilegiadas, como los administradores de red. Un adversario con acceso a esta información podría elaborar un plan para acceder al interior de la red sin ser detectado.
Según los detalles descubiertos en los routers, varios de ellos habían estado en entornos de proveedores de TI gestionados que operan las redes de grandes empresas. Un dispositivo incluso pertenecía a un proveedor de servicios de seguridad gestionados (MSSP) que manejaba redes para cientos de clientes de diversos sectores.
Recomendaciones
A raíz de sus hallazgos, los investigadores destacan la importancia de borrar adecuadamente los dispositivos de red antes de deshacerse de ellos. Las empresas deberían disponer de procedimientos para la destrucción y eliminación seguras de sus equipos digitales.
Los investigadores también advierten que utilizar un servicio de terceros para esta actividad puede no ser siempre una buena idea. Tras notificar sus hallazgos al propietario de un router, se enteraron de que la empresa había utilizado un servicio de este tipo.
El consejo en este caso es seguir las recomendaciones del fabricante del dispositivo para limpiar el equipo de datos potencialmente sensibles y llevarlo a un estado predeterminado de fábrica.