Brecha de Equifax de 2017
Filtración masiva de datos: entre mayo y julio de 2017 robaron el número de la seguridad social, tarjetas de crédito y números de carné de conducir de 143-147 millones de estadounidenses. Descubierta en julio, hecha pública en septiembre. Acuerdo en 2019: 700 millones de dólares más monitorización de crédito gratuita. El CEO de Equifax fue destituido.
Causa raíz: un Apache Struts sin parchear (CVE-2017-5638) que permitió ejecución remota de código; los atacantes pasaron cerca de diez semanas dentro de la red extrayendo datos. Factores agravantes: el certificado del sistema de monitorización había caducado (por lo que no se detectaba tráfico saliente anómalo), y las bases de datos guardaban la información en texto claro, sin cifrar. La propia web de Equifax para comprobar si tus datos estaban afectados era vulnerable a XSS. El director financiero vendió 1,8 millones de dólares en acciones días antes del anuncio (lo que le costó cargos por uso de información privilegiada). El impacto a largo plazo impulsó nueva legislación de protección de datos en EE. UU. (aplicación de la GLBA, leyes estatales de privacidad). El GDPR y la CCPA trajeron después exigencias de notificación parecidas a nivel global.