- ESET découvre que des routeurs d’occasion contenaient encore les données des anciens propriétaires
- Une imprudence qui peut avoir d’énormes conséquences pour les entreprises
- Mais les particuliers devraient peut-être aussi être vigilants
La plupart des gens savent (ou pas ?) qu’avant de revendre ou de faire recycler un smartphone ou un ordinateur, il faut complètement vider celui-ci des données qu’il contient. Mais apparemment, il est moins courant de vider ces données lors d’un changement de routeur, même chez les entreprises. C’est en tout cas ce qu’affirme la société ESET, qui vient de publier le résultat de l’expérience qu’il a réalisée pour mettre en évidence ce problème.
Plus précisément, le spécialiste en cybersécurité indique qu’il a pu obtenir des “secrets d’entreprises” juste en rachetant des routeurs sur le marché d’occasion qui n’avaient pas été correctement vidés de leurs données. ESET a acheté 16 routeurs qui ont été remplacés puis revendus sur le marché d’occasion. Et sur ces 16 routeurs, 9 contenaient des données sensibles d’entreprises.
Sur ces 9 routeurs :
- 22 % contenaient des données sur les clients
- 33 % exposaient des données permettant la connexion de tiers au réseau
- 44 % disposaient d’informations d’identification permettant de se connecter à d’autres réseaux en tant que tiers de confiance
- 89 % contenaient des détails de connexion pour des applications spécifiques
- 89 % contenaient des clés d’authentification de routeur à routeur
- 100 % contenaient un ou plusieurs identifiants IPsec ou VPN, ou des mots de passe racine hachés
- 100 % contenaient des données suffisantes pour identifier de manière fiable l’ancien propriétaire/exploitant
Cameron Camp, le chercheur qui a dirigé ce projet, est surpris, s’attendant à ce que les entreprises soient un peu plus prudentes lorsqu’elles remplacent le matériel informatique.
Des données dans la nature
“Les organisations doivent être beaucoup plus conscientes de ce qui reste sur les appareils qu’elles mettent au pâturage, car la majorité des appareils que nous avons obtenus sur le marché secondaire contenaient un plan numérique de l’entreprise impliquée, y compris, mais sans s’y limiter, les informations réseau de base. , les données d’application, les informations d’identification de l’entreprise et les informations sur les partenaires, les fournisseurs et les clients”, explique-t-il également.
ESET n’indique pas de quelles organisations ces routeurs provenaient. Mais celui-ci explique qu’il s’agit de sociétés de tailles moyennes et de multinationales dans des domaines variés, comme des data centers, des développeurs de logiciels, ou encore des cabinets d’avocats. Or, une procédure bien documentée existe déjà et la suppression de ces données ne devrait pas être une tâche compliquée pour le département informatique d’une société.
Le spécialiste en cybersécurité pense que le problème vient du fait que certaines entreprises ne vident pas les données, parce qu’elles pensent qu’elles remettent leurs anciens matériels à un partenaire de confiance qui le fera à leur place. Or, cela ne se fait pas toujours, comme le montre la petite expérience réalisée par ESET.
“Dans cet esprit, il est recommandé aux organisations de suivre les directives du fabricant pour supprimer toutes les données d’un appareil avant qu’il ne quitte physiquement leurs locaux, ce qui est une étape simple que de nombreux membres du personnel informatique peuvent gérer”, explique ESET. Et si son message s’adresse aux entreprises, il vaudrait mieux vous assurer que votre routeur ne contient plus vos données, avant de revendre, donner, jeter, ou faire recycler celui-ci, même si vous êtes un particulier.
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
