Router dosloužil? Vyřazený hardware skrývá bezpečnostní riziko

Že je potřeba před prodejem kompletně „vygumovat“ mobil, je samozřejmost. Riziko zapomenutých a citlivých údajů hrozí ale i u starých firemních tiskáren, routerů nebo skenerů. Tento hardware může sloužit jako skvělá pozvánka do vaší firemní sítě. Proč? A jak s vyřazeným hardwarem zacházet? Přinášíme několik tipů.

Většina firem investuje velké prostředky do sofistikovaných softwarových řešení na ochranu svých digitálních aktiv. Jeden aspekt kybernetické bezpečnosti ale často opomíjejí – vyřazený hardware.

Staré routery, tiskárny, skenery a další zařízení, která kdysi hrála klíčovou roli v IT infrastruktuře společnosti, mohou být časovanou bombou, pokud se jim nevěnuje správná péče i poté, co doslouží. Známé úsloví „odpad jednoho je pokladem pro druhého“ v kontextu kybernetické bezpečnosti platí dvojnásob. Co se někomu může zdát jako vyřazené nefunkční zařízení, může být pro kyberzločince zlatým dolem informací. 

Tiskárna jako brána do sítě? 

Představte si tenhle scénář. Starý router, kdysi klíčový pro provoz společnosti, se prostě vyhodí nebo prodá. Takový router může být pokladnicí citlivých informací: přihlašovacích údajů, konfigurace sítě nebo záznamů o transakcích.  

Nejde jen o routery. Například tiskárny a skenery často ukládají do interní paměti dokumenty, které vytiskly nebo naskenovaly. Tato zařízení mohou obsahovat kopie důvěrných smluv, záznamů o zaměstnancích nebo finančních výkazů. Podobně i další zařízení, jako jsou servery nebo přepínače, mohou uchovávat citlivá data ještě dlouho po svém vyřazení z provozu. 

Není to jen o vyřazeném hardwaru 

Riziko představuje i zastaralé „železo“, které ve firmách často přežívá dlouho po uplynutí jeho optimální životnosti. Zatímco aktualizace softwaru se většinou vnímá jako nutnost, hardware se mění pouze tehdy, když opravdu „nefunguje“. To představuje potenciální bezpečnostní riziko, protože starší hardware nemusí být kompatibilní s nejnovějšími bezpečnostními standardy. Výrobci navíc po určitém období ukončí podporu staršího hardwaru a přestanou pro něj vydávat bezpečnostní aktualizace.

Kyberzločinci mohou tyto informace vytěžit a zneužít k celé řadě nekalých aktivit, od krádeže identity až po firemní špionáž. Mimo to mohou tato stará zařízení sloužit jako vstupní body do stávající firemní sítě. Pokud má vyřazený směrovač stále aktivní přihlašovací údaje, lze ho využít k získání neoprávněného přístupu do systémů společnosti.

Impersonace jako kybernetický postrach. O co se jedná?

Impersonace jako kybernetický postrach. O co se jedná?

Zobrazit článek

Přihlašovací údaje, citlivá data a šifrovací klíče 

Nedávno přišla na toto téma společnost ESET s případovou studií, která měla za cíl zjistit, kolik z těchto routerů stále obsahuje data svých předchozích majitelů. Výsledek? Ze zkoumané osmnáctky jich bylo řádně vymazáno svými předchozími majiteli pouze pět a 72 % zkoumaných routerů stále uchovávalo citlivá data. Šlo například o přihlašovací údaje k firemním aplikacím nebo o přístupové údaje k síti. Zkoumaný hardware také v některých případech obsahoval přihlašovací údaje pro jinou zabezpečenou síťovou komunikační službu nebo hashovaná správcovská hesla. Na některých routerech se také našlo dostatek identifikačních údajů pro to, aby bylo možné určit, kdo byl předchozím vlastníkem nebo provozovatelem routeru. 

Ještě větší obavy vzbuzovaly šifrovací klíče nalezené v některých zařízeních. Takové klíče by v případě zneužití mohly potenciálně dešifrovat citlivou komunikaci nebo umožnit neoprávněný přístup do zabezpečených oblastí sítě. 

Kyberzločinci vybavení těmito údaji by mohli podnikat cílené útoky, zneužívat zranitelnosti, prodávat informace na dark webu, využít údaje ke špionáži nebo k získání konkurenční výhody při obchodních jednáních. 

Reálné hrozby: nejde jen o data 

Je to docela znepokojivý obrázek. Nejde jen o samotná data, ale o dopady, které s sebou takový únik nese. 

1. Zneužití údajů. Citlivé údaje z vyřazených směrovačů dávají kyberzločincům náskok. Mohou podnikat vysoce cílené phishingové útoky, přičemž získané specifické informace využívají k tomu, aby škodlivá komunikace vypadala přesvědčivěji. Například použitím skutečných přihlašovacích údajů nebo konfigurace sítě ve svých zprávách mohou zvýšit pravděpodobnost, že nic netušící zaměstnanci kliknou na falešné odkazy nebo stáhnou škodlivé přílohy.
2. Finanční důsledky. Data nalezená ve vyřazeném hardwaru mohou mít hmatatelnou finanční hodnotu. Na dark webu existuje prosperující trh s firemními přístupovými údaji. Jejich průměrná cena se může pohybovat od několika set do několika tisíc dolarů. V kombinaci s dalšími údaji, jako jsou šifrovací klíče nebo seznamy aplikací, jejich hodnota – a pochopitelně i potenciální škody – prudce stoupá.
3. Pošramocená reputace. Co má dnes cenu zlata? Důvěra. Zákazníci, partneři a další zainteresované strany očekávají, že firmy budou jejich data pečlivě chránit. Jakékoli pochybení, zejména takové, kterému lze snadno předcházet – tedy třeba právě nesprávně vyřazený hardware –, může tuto důvěru a pověst firmy zle poškodit. 
4. Regulační a právní důsledky. V mnoha regionech platí přísné předpisy o ochraně osobních údajů, jako je například evropské nařízení GDPR. Společnosti, u nichž se zjistí, že při likvidaci dat postupují nedbale, mohou čelit vysokým pokutám. Kromě regulačních sankcí hrozí také riziko právních kroků, což může vést například k případnému vyrovnání, a tedy dalšímu finančnímu zatížení. 
5. Nedostatečná informovanost a angažovanost. Jedním z nejvíce znepokojujících aspektů, na které výzkum upozornil, je zjevný nedostatek informovanosti. A navíc, i když společnosti na to, že jejich údaje jsou takto k dispozici, upozorníte, řada jich projevuje při řešení tohoto problému laxnost. Taková nedbalost rozhodně nepřispívá ke zlepšování situace v kybernetické bezpečnosti a pouze ukazuje na nutnost neustálého vzdělávání a osvětových kampaní.

Jak na to? Aktivně a chytře 

Rizika spojená s vyřazeným hardwarem jsou zřejmá. Dobrou zprávou však je, že díky správným postupům jim lze celkem snadno předcházet. Zde je několik praktických tipů, jak s vyřazeným hardwarem nakládat: 

1. Vymazání dat. Před vyřazením jakéhokoli zařízení zajistěte důkladné vymazání všech dat. Pozor! Přesahuje to rámec prostého obnovení továrního nastavení. Použijte specializovaný software nebo služby určené k přepsání všech datových sektorů. I jediný ponechaný soubor může představovat riziko. 
2. Fyzické zničení. U zařízení, která již nejsou funkční nebo jsou příliš stará na to, aby mohla být znovu použita, zvažte jejich fyzické zničení podle pravidel likvidace pro tento typ odpadu. To znemožní obnovení dat. I když se to může zdát jako extrémní řešení, je to spolehlivý způsob, jak zabránit úniku dat z vyřazeného hardwaru. 
3. Šifrování. Zašifrovaná data představují další vrstvu zabezpečení. I když se zařízení dostane do nesprávných rukou, zašifrovaná data zůstanou bez dešifrovacího klíče nedostupná. Šifrování citlivých dat zařaďte mezi běžné postupy, zejména u zařízení, u nichž je vyšší předpoklad k vyřazení nebo výměně. 
4. Pravidelné audity. Pravidelně provádějte audit inventáře hardwaru. Identifikujte zařízení, která se již nepoužívají nebo mají být vyměněna. Pečlivým sledováním hardwarových prostředků můžete zajistit jejich včasnou a bezpečnou likvidaci. 
5. Certifikace. Spolupracujte s firmami zabývajícími se likvidací elektronického odpadu, které mají certifikáty pro likvidaci dat. Tyto certifikace svědčí o jejich odbornosti a o tom, že dodržují osvědčené postupy v oblasti bezpečnosti dat. 
6. Školení zaměstnanců. Proškolte všechny zaměstnance, zejména ty v IT a na vedoucích pozicích, v tom, jak hardwarový odpad správně likvidovat. Na pravidelných seminářích nebo školeních se dozvědí o nejnovějších hrozbách a osvědčených postupech v této oblasti. 
7. Dokumentované protokoly. Vytvořte jasné a zdokumentované protokoly pro likvidaci hardwaru. Ty by měly zahrnovat vše od vymazání dat až po fyzickou likvidaci. Existence stanoveného protokolu zajišťuje konzistenci a snižuje pravděpodobnost omylu nebo zanedbání. 
8. Aktualizované informace. Svět kybernetické bezpečnosti jde neustále kupředu. Objevují se nové hrozby a staré se vyvíjejí. Zajímejte se o nejnovější trendy, hrozby a postupy, které souvisejí s likvidací hardwaru. Předplatné publikací o kybernetické bezpečnosti, účast na seminářích nebo spolupráce s odborníky vás udrží v obraze. 

Žijeme ve složitém prostředí digitálního věku, a proto je naprosto jasné, že kybernetická bezpečnost není jen záležitostí IT, ale základním pilířem každé úspěšné firmy. A měl by to být právě management, který nese hlavní odpovědnost za implementaci a udržování dostatečně robustních kyberbezpečnostních politik a postupů.

Výše popsaná odhalení týkající se vyřazeného hardwaru jsou důraznou připomínkou toho, že hrozby se mohou objevit i na těch nejneočekávanějších místech. Čelíme řadě výzev, od sofistikovaných hackerských pokusů až po útoky ransomwaru, ale často skrytá hrozba číhá ve věcech, do nichž bychom to neřekli. Jako je starý router nebo tiskárna.

Jedním z možných způsobů, jak snížit rizika spojená s vyřazeným hardwarem, je migrace dat a aplikací do cloudu. Cloudová řešení často nabízejí robustní bezpečnostní protokoly a jsou pravidelně aktualizovaná, což minimalizuje rizika úniku dat.  

Dalším stupněm ochrany může být Next Generation Firewall, který poskytuje víceúrovňovou ochranu, včetně ochrany před síťovými útoky, malwarem a únikem dat. Filtrují obsah předtím, než vstoupí do vaší sítě, což ji činí průchodnější a bezpečnější.

Nejde jenom o to, aby si společnosti pořídily firewally a systémy detekce útoků a zašifrovaly data. Jde o holistický přístup – o všechny aspekty firmy od rozhodování nejvyššího vedení až po každodenní postupy jednotlivých zaměstnanců. 

Co si z článku odnést? 

• Ačkoli firmy investují do softwarové bezpečnosti, často opomíjejí fyzickou bezpečnost hardwaru. Staré tiskárny, routery a skenery mnohdy obsahovat citlivé informace, které mohou představovat riziko. 
• Tato zařízení totiž mohou uchovávat například kopie důvěrných dokumentů i po vyřazení z provozu nebo z nich útočníci mohou získat přístup do firemních sítí. 
• Neoprávněný přístup může vést k úniku dat, finančním ztrátám, poškození pověsti, cíleným kybernetickým útokům a dalším negativním důsledkům. 
• Citlivé informace mohou být prodány na dark webu a společnosti mohou čelit pokutám nebo i žalobám.

Barbora Nováková
Marketingový specialista pro B2B