Equifax-datalek 2017
Enorm datalek: tussen mei en juli 2017 werden van 143 tot 147 miljoen Amerikanen het sofinummer-equivalent (SSN), creditcardgegevens en rijbewijsnummers gestolen. Ontdekt in juli, bekendgemaakt in september. Schikking in 2019: 700 miljoen dollar plus gratis kredietbewaking. De ceo moest vertrekken.
Hoofdoorzaak: een niet-gepatchte Apache Struts (CVE-2017-5638) leidde tot remote code execution, waarna de aanvallers ongeveer tien weken in het netwerk data wegsluisden. Verzwarende omstandigheden: een certificaat voor de monitoring van dataverkeer was verlopen, zodat afwijkend uitgaand verkeer onzichtbaar bleef, en databases stonden onversleuteld opgeslagen. De Equifax-site waarop slachtoffers konden controleren of ze getroffen waren, bleek zelf kwetsbaar voor XSS.
De cfo verkocht dagen voor de bekendmaking voor 1,8 miljoen dollar aan aandelen (aanklacht wegens handel met voorkennis). Langetermijngevolg: het gaf het Amerikaanse Congres een zet richting wetgeving voor gegevensbescherming (handhaving van de GLBA, privacywetten per staat). GDPR en CCPA brachten later vergelijkbare meldplichten wereldwijd.