Equifax 泄露近 1.5 亿人信息：监控设备的证书过期了 19 个月，没人发现

配图：AI 生成的概念示意图，非论文原图、真实现场或实验数据。

TL;DR：2017 年，美国征信巨头 Equifax 因没有及时修补 Apache Struts 漏洞，被攻击者潜伏 76 天，约 1.45 亿至 1.48 亿人的个人信息外泄（不同阶段、不同文件口径不一）。美国国会众议院监督委员会的报告指出，负责检查加密流量的监控设备，证书早在 2016 年 1 月就过期，让入侵监测失明长达 19 个月。需要说明的是：「76 天」是攻击持续时间，不是监控失明的时间。

这是一桩 2017 年的旧事，本文是回顾，不是今天的新闻。

一个两个月前就有补丁的漏洞

2017 年 3 月 7 日，Apache Struts 项目公开了编号 CVE-2017-5638 的远程代码执行漏洞，攻击者只需通过文件上传就能在服务器上执行命令，利用门槛很低。次日，美国国土安全部下属的 US-CERT 就向 Equifax 发出了警告；3 月 9 日，Equifax 内部的威胁管理团队又把通知发给了约 430 人，要求按政策在 48 小时内修补。

报告认定，Equifax 的系统从 3 月 8 日起到 7 月 30 日下线受影响应用，一共暴露了 145 天。

76 天里发生了什么

5 月 13 日，攻击者通过这个漏洞进入了 Equifax 的 ACIS 系统，也就是消费者用来对信用记录提出异议的在线门户，系统建于 20 世纪 70 年代，跑在老旧的遗留架构上。攻击者植入网页后门，又在系统里找到一份存着明文账号密码的文件，借此访问了另外 48 个数据库，发出约 9000 次查询，有 265 次找到了未加密的个人信息，并把数据传了出去。

证书：没人发现的那颗螺丝

Equifax 本来有专门检查加密流量的设备，入侵检测和防御系统都排在它后面。问题是这台设备上的 SSL 证书在 2016 年 1 月 31 日就过期了，而它的默认设置是证书过期后照常放行流量，只是不再解密。于是检测系统看到的都是一堆看不懂的密文，数据被拖走时没有任何告警。

2017 年 7 月 29 日，工程师更新了包括这张在内的一批证书，立刻发现了可疑流量。次日，ACIS 被紧急下线，攻击就此结束。

后果

2017 年 9 月 7 日，Equifax 公告称影响约 1.43 亿人，之后几经修订，最终国会报告采用约 1.48 亿，几乎是美国人口的一半。泄露的信息包括姓名、社保号、出生日期、地址，部分人还有驾照号。公告当天，通知网站和呼叫中心被挤垮；9 月底，首席信息官、首席安全官和 CEO 先后离职。

为什么值得记住

这个案子没有什么高深技术：一个已知漏洞没补上，补丁扫描没扫出来，一张过期证书没人盯，一份明文密码躺在服务器里。每一环单看都很小，叠在一起，就是一场近 1.5 亿人的泄露。

来源：U.S. House Committee on Oversight and Government Reform，《The Equifax Data Breach》（2018 年 12 月）