Die US-Auskunftei Equifax gab im September 2017 ein Datenleck bekannt, von dem rund 147 Millionen Menschen betroffen waren, hauptsächlich in den USA. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie bei etwa 145,5 Millionen Personen Sozialversicherungsnummern und bei rund 209.000 Personen Kreditkartendaten. Ursache war eine bereits am 07.03.2017 von Apache veröffentlichte und gepatchte kritische Schwachstelle in der Software Apache Struts (CVE-2017-5638), die Equifax auf einem internen Portal nicht schloss, obwohl die eigene Sicherheitsabteilung eine Patch-Frist von 48 Stunden angeordnet hatte. Angreifer nutzten die Lücke ab dem 10.03.2017 aus und exfiltrierten zwischen Mai und Juli 2017 unentdeckt Daten. Im Juli 2019 einigte sich Equifax mit FTC, CFPB sowie 48 US-Bundesstaaten auf einen Vergleich von bis zu 700 Millionen US-Dollar.
Klartext anzeigen
Die genaue Identität der Angreifer ist nicht abschließend geklärt, das US-Justizministerium erhob 2020 Anklage gegen vier mutmaßliche Mitglieder der chinesischen Volksbefreiungsarmee, dies stammt aus einer separaten Ermittlung. Die Zahl von 147 Millionen Betroffenen ist eine später revidierte Schätzung, die ursprüngliche Meldung nannte 143 Millionen. Der Gesamtwert des Vergleichs von 700 Millionen Dollar ist ein Maximalbetrag, tatsächlich zahlte Equifax mindestens 575 Millionen Dollar garantiert.
Journalismus
