De acuerdo con información del sitio TechCrunch, altos ejecutivos de Equifax están siendo investigados por la mayor brecha de datos en la historia de Estados Unidos que expuso los números de seguridad social, licencias de conducir y más información sensible de 143 millones de estadounidenses a principios de verano. De acuerdo con el testimonio del ex director ejecutivo Richard Smith, el ataque fue realizado mediante la explotación de una vulnerabilidad en Apache Strust.
Sin embargo, el parche para esa vulnerabilidad había estado disponible meses antes de que fuera expuesta la información. En una transmisión en vivo ante el Subcomité de Comercio Digital y Protección al Consumidor, Smith testificó que la vulnerabilidad de Struts había sido discutida cuando fue revelada por el US-CERT el 8 de marzo. Indicó que en sus inicios con Equifax hace 12 años, en realidad, no contaban con personal para ciberseguridad, que fue en los últimos tres años cuando la compañía realizó una inversión de 250 millones de dólares para ello, y actualmente cuenta con un equipo de 225 personas.
Sin embargo, Smith dio una interesante explicación de cómo la situación se salió de control para este equipo de 225 personas: «Se debió a un error humano, el responsable en la organización de comunicar la aplicación del parche, simplemente no lo hizo».
La idea de que una sola persona no hizo su trabajo y como resultado de ello se originó la mayor brecha de seguridad en EE.UU. es una afirmación sorprendente y muestra la falta primordial de buenas prácticas en seguridad. Según el testimonio escrito de Smith, Equifax envió un correo electrónico interno el 9 de marzo para que se efectuara la actualización de Apache Struts en las siguientes 48 horas. Sin embargo, el sistema no identificó ninguna vulnerabilidad, unos días más tarde, el departamento de TI realizó un análisis pero tampoco reconoció la vulnerabilidad. Aparentemente, la persona responsable debió comunicar que ya había un parche disponible para una vulnerabilidad descubierta.
Los hackers, que rápidamente reconocieron la vulnerabilidad, comenzaron a acceder a la información desde el 13 de marzo y continuaron haciéndolo durante meses.
Smith dimitió como CEO de Equifax la semana pasada, poco después de que el jefe de seguridad y el jefe de información también salieran de la compañía. Nueva York ha emitido una citación respecto a la violación masiva y la ciudad de San Francisco ha abierto una demanda en nombre de los 15 millones de californianos afectados.
En el último mes se dieron a conocer otras brechas de seguridad en grandes empresas como Deloitte y la US Securities and Exchange Commission (SEC).
También puede interesarle:
–Deloitte víctima de ciberataque.
