Prywatne dane na urządzeniach z drugiej ręki

Globalny Zespół ds. Badań i Analiz firmy Kaspersky (GReAT) zbadał  bezpieczeństwo urządzeń z drugiej ręki. Zespół badawczy w regionie DACH, któremu przewodzili Marco Preuss i Christian Funk, przez dwa ostatnie miesiące 2020 r. przeanalizowali używane laptopy i różne nośniki pamięci masowej, takie jak dyski twarde i karty pamięci.

Celem badania było sprawdzenie, jakie dane można znaleźć na urządzeniu po nabyciu go na rynku wtórnym. Jakie ślady może pozostawić osoba sprzedająca? Co może zrobić osoba kupująca, aby urządzenie było jak nowe? I wreszcie, czy korzystanie z takiego urządzenia jest bezpieczne?

Ustalenia

Zdecydowana większość zbadanych przez naukowców urządzeń zawierała co najmniej część danych — głównie osobistych, ale czasami też firmowych. Ponad 16% urządzeń dało naukowcom bezpośredni dostęp do takich informacji, a 74% po obróbce plików. Prawidłowo wyczyszczonych zostało zaledwie 11% urządzeń.

Preuss i Funk odkryli dane, które potencjalnie mogą być nieszkodliwe, rażąco ujawniające czyjeś sprawy prywatne, a nawet stwarzające zagrożenie: były to wpisy kalendarza, notatki ze spotkań, dane dostępowe do zasobów firmy, dokumenty wewnętrzne, zdjęcia osobiste, informacje medyczne, dokumenty podatkowe i inne. Ponadto, jak zauważył Funk, dane osobowe nie tracą na wartości wraz z upływem czasu; nie można po prostu przeczekać zagrożenia i po pewnym czasie czuć się bezpieczniej.

Oprócz informacji bezpośrednio użytecznych, takich jak listy kontaktów, dokumenty podatkowe czy dokumentacja medyczna (lub dostęp do nich za pośrednictwem zapisanych haseł), urządzenia elektroniczne zawierały informacje, które mogą wywołać innego rodzaju szkody. Tu warto zastanowić się, w jaki sposób cyberprzestępcy wykorzystują informacje, które zbierają z naszych profili i postów w sieciach społecznościowych — zawartość urządzenia cyfrowego zawiera znacznie więcej informacji.

Czy wspomnieliśmy o złośliwym oprogramowaniu?

Można śmiało powiedzieć, że nikomu innemu nie zależy na bezpieczeństwie Twojego urządzenia cyfrowego tak jak Tobie. Jeśli kupujesz jakiś gadżet z drugiej ręki, dość prawdopodobne jest, że otrzymasz nie tylko dane kogoś innego, ale także szkodliwy program w bonusie. Wśród urządzeń, które zbadali Preuss i Funk, 17% aktywowało alarm naszego skanera antywirusowego.

Prequel: szersze badanie

Opisywane badanie było następstwem badania, które firma Kaspersky zleciła firmie Arlington Research. Udział w nim wzięło kilka tysięcy dorosłych konsumentów w Wielkiej Brytanii, Niemczech i Austrii. Pierwsze badanie potwierdziło założenia; sprzedaż urządzeń cyfrowych z drugiej ręki jest w rzeczywistości niezawodnym i wiarygodnym źródłem wycieków danych. Wśród kilkuset osób, które nabyły urządzenie używane, mniej niż połowa nie znalazła na nich żadnych zdjęć, „materiałów jawnych”, danych kontaktowych, poufnych dokumentów (takich jak paszporty), ani danych logowania.

Sprzedawco, uważaj

Chociaż około 10% respondentów przyznało, że znalazło na urządzeniach informacje należące do sprzedawcy, niewielu z nich zignorowałby je, natychmiast usunęło lub poinformowało pierwotnego właściciela lub jakiekolwiek władze o znalezisku. Więcej niż 1 na 10 osób przyznało, że oprócz zwykłego rzucenia oka (przyznało się do tego 74% respondentów) sprzedałoby znalezione dane, jeśli uznałoby, że można na tym zarobić.

Porady

Narodowe Centrum Bezpieczeństwa Cybernetycznego w Wielkiej Brytanii udostępniło praktyczne porady dla kupujących i sprzedających w zakresie używanych urządzeń elektronicznych, od tworzenia kopii zapasowych danych osobowych po upewnienie się, że urządzenie jest tak czyste, jakby było nowe.

Dla sprzedawców

Priorytetem sprzedawców powinno być usunięcie informacji ze sprzedawanego urządzenia, aby pozostały one zarówno bezpieczne, jak i prywatne. Należy również upewnić się, że urządzenie jest bezpieczne (nawiasem mówiąc, o to warto dbać przez cały czas) — a dokładniej chodzi o to, aby zachować swoje rzeczy dla siebie.

• Twórz kopię zapasową swoich danych: niezależnie od tego, czy są one dostępne w telefonie, komputerze, karcie pamięci lub innej formie pamięci masowej, zanim usuniesz je ze sprzedawanego urządzenia, utwórz bezpieczna kopię zapasową.
• Wyjmij z telefonu kartę SIM i kartę pamięci; usuń kartę eSIM, jeśli urządzenie z niej korzysta.
• Włącz uwierzytelnianie dwuskładnikowe dla wszystkich kont, które to umożliwiają, a następnie wyloguj się z każdej usługi (bankowości, poczty e-mail, mediów społecznościowych itp.) na urządzeniu, które sprzedajesz.
• W zależności od danego urządzenia należy przywrócić ustawienia fabryczne lub sformatować nośnik.
• Pamiętaj, że w wielu przypadkach dane można odzyskać nawet po przywróceniu ustawień fabrycznych lub sformatowaniu nośnika. Aby upewnić się, że na urządzeniu nic nie pozostało, podejmij dodatkowe kroki, które różnią się w zależności od typu urządzenia, modelu i konfiguracji; wyszukaj informacje, jak bezpiecznie usunąć wszystkie dane z Twojego gadżetu.

Dla kupujących

Nasze porady dla nabywców urządzeń używanych są bardzo podobne do porad dotyczących ogólnej higieny urządzeń cyfrowych, ale są nieco bardziej rygorystyczne, ponieważ w tym przypadku należy założyć, że urządzenie używane jest zainfekowane. Jak wiadomo, lepiej zapobiegać niż leczyć.

• W zależności od danego urządzenia przywróć ustawienia fabryczne lub sformatuj nośnik pamięci masowej.
• Niezwłocznie zainstaluj i aktywuj niezawodne rozwiązanie zabezpieczające — jeśli to możliwe, zrób to tuż po zakupie urządzenia — aby zminimalizować ryzyko infekcji złośliwym oprogramowaniem już obecnego na urządzeniu, a przed pierwszym użyciem urządzenia uruchom skanowanie.