Equifaxi turvaleke

Equifax on USA krediidiinfofirma, mis langes 2017. aasta maist juulini kahe suure küberrünnaku ohvriks. Küberkurjategijad said kätte vähemalt 143 miljoni inimese isikuandmed (isikukood, krediidiinfo, krediitkaardi andmed jpm).

Rünnak

Rünnakus kasutati ära Apache Struts 2 turvaauku CVE-2017-5638, mis lubab ründajal võõras süsteemis enda koodi käivitada. Avalikkust teavitati turvaaugust 7. märtsil 2017. aastal. Kohe pärast turvaaugu avastamist soovitas Apache kõikidel klientidel uuendada oma süsteemid vähemalt versiooniks 2.3.32 või 25.10.1. Kui alguses arvati, et toimunud on vaid üks rünne, siis hiljem tuvastas Equifax ka teise. Esimene rünnak toimus 2017. aasta märtsis ning teine 2017. aasta maist juulini.
USA süsteemi järgi hoitakse eraisikute krediidiandmeid, sealhulgas isikukoodi, krediitkaardiandmeid ja juhiloaandmeid erafirmade serverites. Kliendid saavad firmadest tellida oma krediidiajaloo või krediidiskoori, mis on tihti vajalik laenu taotlemiseks või tööle kandideerimiseks. Ameerika Ühendriikides on info peamiselt kolme suurfirma käes (Experian, TransUnion ja Equifax).

Esimene rünnak

Esimese rünnaku kohta tulid vihjed 2017. aasta märtsi alguses, kui osa klientidest kaebas lekke üle, väites, et nende isikuandmed on varastatud. Equifax viis läbi juurdluse, millesse kaasas küberturvafirma Mandiant. Juurdlus lõpetati 2017. aasta mais, kuna usutavasti ei leitud ühtegi asitõendit, et küberrünnak oleks toimunud. Firma pole uurimuse raportit avalikkusele avaldanud.

Teine rünnak

Kuigi turvaauk avastati 2017. aasta märtsi alguses ning teine rünne Equifaxile toimus maist juulini, tegi firma ametliku avalduse rünnete kohta alles 2017. aasta 7. septembril. Avalduses öeldi, et firma avastas lekke 29. juulil 2017. aastal, kuid andmed olid varastatud juba mitu kuud varem. Kaks päeva hiljem kaasati juurdlusse taas küberturvafirma Mandiant, kelle abil selgitati välja, et rünne toimus mai keskel.

Ründajad

Seni ei ole teada, kes rünnakute eest vastutab ning kas mõlemal juhul oli tegemist samade inimestega või kahe erineva grupiga. Siiani on tumeveebis ilmunud erinevaid lehekülgi, mis ähvardavad  kogu varastatud info avalikustada, kui neile suuri summasid ei maksta. Seni on kõik taolised leheküljed kiiresti maha võetud, mis näitab, et tegemist ei olnud tegelike ründajatega, vaid petturitega, kes lootsid olukorrast kiiret raha teenida.

Tulemus

2017. aasta oktoobriks selgus, et rünnak mõjutas umbes 145,5 miljonit ameeriklast. Lisaks puudutas andmeleke 12,2 miljonit Suurbritannia klienti. Hiljem selgus, et lekkinud olid veel 10,9 miljoni ameeriklase juhiloaandmed.
Equifaxi kritiseeriti hilise rünnakust teatamise tõttu. Firma väitis, et vajas aega rünnaku ulatuse selgitamiseks ning kahjude hindamiseks. Lisaks lõi firma lehekülje equifaxsecurity2017.com, kust Equifaxi klient leiab vajamineva info rünnaku kohta ning näpunäiteid, kuidas edasi käituda. Näitamaks, kui jabur idee on luua firma pealehest equifax.com eraldi domeeniga lehekülg, tegi Equifaxi töötaja lehe securityequifax2017.com. Leheküljel küsiti kasutajalt tema andmeid, mida kurjategija oleks saanud vabalt pahaaimamatu kliendi vastu ära kasutada. Pärast andmete sisestamist tuli kasutaja ekraanile teade, et tegemist on vale leheküljega. Lisaks paluti, et inimesed annaksid Twitteri teel Equifaxile teada, et nad oma lehekülge muudaksid.
Lisaks seati kahtluse alla firma juhtide tegevus, kes müüsid plaaniväliselt endale kuuluvaid aktsiaid väärtuses 1,8 miljonit USD. Müük toimus 1. ja 2. augustil 2017. aastal ehk vahetult pärast rünnaku avastamist. Pärast Equifaxi septembris tehtud avaldust langes firma aktsiaväärtus. Equifax väidab, et firma juhtidel puudus aktsiate müügi ajal teave infolekkest.