Wyciek z Equifax 2017
Ogromny wyciek danych: numery SSN, karty kredytowe i numery praw jazdy 143–147 milionów Amerykanów skradzione w maju–lipcu 2017. Wykryty w lipcu, ujawniony we wrześniu. Ugoda w 2019: 700 mln USD i bezpłatny monitoring kredytowy. Prezes Equifax stracił stanowisko.
Przyczyna: niezałatana podatność Apache Struts (CVE-2017-5638) → RCE → napastnicy spędzili w sieci ok. 10 tygodni, wyprowadzając dane. Czynniki obciążające: wygasły certyfikat w systemie monitorowania danych (nie widziano nietypowego ruchu wychodzącego) oraz bazy danych w postaci jawnej, bez szyfrowania spoczynkowego. Strona Equifax do sprawdzania, czy jest się ofiarą, sama miała podatność XSS. Dyrektor finansowy sprzedał akcje za 1,8 mln USD na kilka dni przed ujawnieniem (zarzuty o wykorzystanie informacji poufnych). Skutek długofalowy: skłonił Kongres do działań w sprawie ochrony danych (egzekwowanie GLBA, stanowe przepisy o prywatności). Dziś RODO i CCPA wprowadziły podobne obowiązki zgłaszania na całym świecie.