Am 07.03.2017 veröffentlichte Apache die kritische Sicherheitslücke CVE-2017-5638 im Web-Framework Apache Struts. Equifax patchte diese Schwachstelle auf einem Kundenbeschwerdeportal nicht, obwohl ein interner Scan sie hätte identifizieren sollen. Angreifer verschafften sich laut GAO-Bericht am 10.03.2017 erstmals Zugriff und exfiltrierten vom 13.05. bis 30.07.2017 über 76 Tage hinweg unbemerkt Daten mittels rund 9.000 Datenbankabfragen auf 51 verschiedene Datenbanken. Betroffen waren personenbezogene Daten von 147,9 Millionen US-Bürgern, darunter Sozialversicherungsnummern und Geburtsdaten. Ursachen waren unter anderem fehlerhafte Netzwerksegmentierung und ein abgelaufenes Sicherheitszertifikat, das die Überwachung des verschlüsselten Datenverkehrs verhinderte.
Klartext anzeigen
Nicht dokumentiert ist, warum der interne Equifax-Scan das betroffene Portal nicht erfasste, Equifax sprach von einem Kommunikationsversagen zwischen Teams, ohne dass dies unabhängig verifiziert wurde. Die Zahl der betroffenen Personen schwankt je nach Quelle zwischen 143 und 147,9 Millionen. Die Zuordnung der Angreifer zu chinesischen Militärangehörigen der PLA beruht auf einer Anklage, nicht auf einem Urteil, da mangels Auslieferung keine gerichtliche Verurteilung erfolgte.