Schritt für Schritt kommen immer neue Details über den Hack bei der amerikanischen Wirtschaftsauskunftei Equifax heraus. Die waren ja Monate lang gehackt, ohne es zu merken und Daten von 143 Millionen US-Bürgern, sowie weiterer Kunden im Ausland wurden entwendet.
Anzeige
Ich hatte ja mehrere Beiträge rund um diesen Vorfall hier im Blog (siehe Linkliste am Artikelende). Vor wenigen Tagen wurde die von mir vermutete Lücke im Apache Struts-Framework bestätigt (ich hatte es im Beitrag Equifax-Hack Schlampereien: Apatche Struts ungepatcht nachgetragen). Die Equifax IT wusste sogar von der Lücke, hat beim Patchen aber wohl einen oder mehrere Server übersehen. Der Hack fiel erst auf, als die IT im Juli 2017 ungewöhnliche Aktivitäten in der Kommunikation des Servers auffiel. Weitere Informationen finden sich in diesen Beitrag.
Auch die Verantwortlichen Führungskräfte, Chief Security Officer Susan Mauldin, und der Chief Information Officer, David Webb, wurden in den Ruhestand versetzt. Die mit einem argen Geschmäckle versehenen Aktienverkäufe dreier Führungskräfte (siehe GAU: US Wirtschaftsauskunftei Equifax gehackt) werden jetzt vom US-Justizministerium juristisch überprüft, wie Bloomberg hier berichtet.
Jetzt berichtet Bloomberg in einem neuen Artikel, dass Untersuchungen einen ersten Hack im März 2017 ergeben haben. Also ganze fünf Monate, bevor der Datenabfluss bekannt wurde. Equifax beeilt sich zwar auszuführen, dass die beiden Hacks nichts miteinander zu tun hätten. Aber Fachleute zweifeln daran – und im Grunde ist es auch egal. Wenn eine Bank zwei Mal binnen 5 Monaten beklaut wurde, weil der Tresorraum offen stand, ist nicht die Frage 'war das der gleiche Dieb?', sondern 'warum stand der Tresor Sperr Angel weit offen?'. Das wird in der juristischen Aufarbeitung noch viel Freude bereiten. Ergänzung: Bei heise.de gibt es einige deutschsprachige Informationen zum Thema.
Ähnliche Artikel
GAU: US Wirtschaftsauskunftei Equifax gehackt
Equifax-Hack Schlampereien: Apatche Struts ungepatcht
Equifax: Prüfseite nutzlos und anfällig für XSS
Equifax-Hack nutzte Apache Struts-Lücke
2015
