企業の機密データが含まれていることが判明した。「今回の調査結果がもたらす潜在的な影響は、極めて懸念すべきものであり、警鐘を鳴らすべきものだ」と述べている。「中小企業や大企業であれば、廃棄するデバイスのセキュリティ対策は万全であると思われるが、逆であることが判明した。我々が流通市場から入手したデバイスの大半は、関係する企業の、コアネットワーク情報/アプリケーション・データ/企業認証情報/パートナー/ベンダー/顧客に関する情報などの、デジタル・ブループリントが含まれていた」と述べている。ミスか、企業独自の廃棄プロセスの問題かは別として、ルーターからは以下のような各種データが検出された。サードパーティ・データ実際のサイバー攻撃で見られるように、ある企業のネットワークが侵害されると、その企業の顧客/パートナー/関連企業などにも拡散する可能性がある。信頼できる第三者は、これらのデバイスにある証明書や暗号トークンを承認するため、二次攻撃のベクトルとして成りすましに悪用できる。攻撃などを仕掛けられる恐れが生じる。それにより攻撃者は、被害者に長期間気づかれないまま、企業秘密を盗み出すことが可能になる。顧客データ場合によっては、コアルーターは、その所有者の顧客に関する特定の情報を持つ、内部/外部の情報ストレージを指し、時にはオンプレミスに保存されることもある。そのため、攻撃者が顧客に関する特定の情報を得た場合に、顧客が潜在的なセキュリティ問題にさらされる可能性がある。特定のアプリケーションローカル・ホスト/クラウドの両方で、特定の組織が使用する主要なアプリケーション・プラットフォームの完全なマップが、それらのデバイスのコンフィグレーションに散在していた。それらのアプリケーションとは、企業のEメール/顧客の信頼できるクライアント・トンネル/販売・顧客のプラットフォームなどに加えて、近接アクセス・トポロジー/監視カメラネットワークのベンダーなどの物理的セキュリティ・ベンダーなどを含む多岐に渡るものだ。研究者たちは、これらのアプリケーションが、どのポートで、どのホストから通信され、どのホストを信頼する/信頼してないかも突き止めた。アプリケーションの粒度が細かく、場合によっては特定のバージョンが使用されているため、すでに攻撃者がマッピングしているであろうネットワーク・トポロジー全体で、既知の脆弱性の悪用が可能だったとしている。至るまでの、さまざまな組織の内部構造の完全なレイアウトを発見し、デバイスが敵の手に渡った後の悪用につながる、広範なネットワーク・トポロジー情報を入手した。回収されたコンフィグレーションには、多くのリモート・オフィス/オペレーターの近隣・海外の所在地/本社との関係なども含まれており、潜在的な攻撃者にとって、きわめて価値のあるデータとなっている。ルーターのピアリング・アレンジメントなどの構成要素となり得る。情報/暗号キーなどの、クラッキング可能な、あるいは、そのまま再利用が可能な、企業認証情報がロードされている。そのため、攻撃者がシームレスに信頼できるエンティティになり、ネットワーク全体にアクセスすることができるようになっていた。「ハードウェアを適切に廃棄するためのプロセスは十分に文書化されている。今回の調査では、多くの企業がデバイスを二次的ハードウェア市場に出す際に、そのプロセスに厳格に従わないことが判明した」と述べている。「脆弱性の悪用やスピアフィッシングによる認証情報の取得は、潜在的に困難な作業だ。我々の研究では、もっと簡単な方法で、それらのデータを入手できることが分かった。標準に準拠していることを確認するよう強く求める」と付け加えている。調査を行ったルーターは、中小企業からグローバル企業に至るまでの、さまざまな組織で使用されていたものだ。その業種は多岐にわたり、データセンター/法律事務所/サードパーティ技術プロバイダー/製造・技術企業/クリエイティブ企業/ソフトウェア開発者などが含まれる。可能な限り調査結果を公表した。デバイスの管理の過程で、他者により侵害された可能性のある詳細情報を、確実に把握できるようにしたという。連絡を何度も試みても無反応なところもあったという。それぞれの組織は、デバイスの廃棄において、信頼できる有能な第三者を利用する必要がある。廃棄を自ら行う場合は、必要とされる全ての予防措置を講じているかどうかを確認する必要がある。この原則は、ルーターやハードディスクだけでなく、ネットワークを構成する、あらゆるデバイスに適用されるべきものだ。今回の調査では、信頼できるベンダーと契約しているつもりでも、データが流出してしまったという企業が多かったようだ。このことから、対象となるデバイスが物理的に社外に出る前に、製造元のガイドラインに従って、全てのデータを削除することを推奨する。組織は、開示通知を真摯に受け止めることが重要だ。なければ、高いコストのデータ侵害や、大きな風評被害が発生する可能性がある。親切なレポートですね。それにしても、せっかく教えてもらったのに、知らんぷりの企業というのは、どういうことなのでしょうか。して、マズイと思った担当者がということかもしれませんが、他者にも迷惑をかけますよね。雇用主へのハッキングに無関心だと回答」も、ご参照ください。