Violation de données d'Equifax (2017)
Vol des données personnelles d'environ 147 millions de personnes chez l'agence de crédit américaine Equifax en 2017, par une faille corrigée deux mois plus tôt, attribué ensuite à des militaires chinois.
Equifax détient les historiques de crédit d'une grande partie de la population américaine. Les attaquants sont entrés par un portail de réclamations qui utilisait une version du logiciel Apache Struts dont la faille était publique et corrigée depuis mars 2017 ; ils y sont restés plus de deux mois. Le cas est devenu la référence de la faille connue et non corrigée, que les assureurs distinguent désormais de la faille inédite, parfois par des exclusions ou des coassurances croissantes avec le temps écoulé depuis le correctif. Il a aussi montré l'enchaînement complet des coûts d'une violation massive : notification, surveillance du crédit, sanctions des régulateurs, actions de groupe, départ des dirigeants. Son attribution tardive à un État, plus de deux ans après, a enfin rappelé qu'une violation traitée comme criminelle peut se révéler une opération de renseignement.
Equifax a révélé la violation le 7 septembre 2017. Le 22 juillet 2019, elle a conclu avec la FTC, le CFPB et les États un accord pouvant atteindre 700 millions de dollars. Le 10 février 2020, le département de la Justice a inculpé quatre membres de l'Armée populaire de libération chinoise pour cette intrusion.
Equifax, fuite Equifax, Equifax breach
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.