Flagello · 7 settembre 2017

Il flagello di Equifax

Cronaca

Il 7 settembre 2017 l'agenzia di informazioni creditizie Equifax rivelò che degli attaccanti avevano rubato dati personali, compresi i numeri di previdenza sociale, di circa 147 milioni di persone. Erano entrati da metà maggio, sfruttando una vulnerabilità di Apache Struts per cui la correzione esisteva da due mesi, e ne erano usciti indisturbati fino a fine luglio. Nel 2020 il Dipartimento di Giustizia statunitense incriminò per il furto quattro membri dell'Esercito popolare di liberazione cinese.

Lezione appresa

Dimostrò che l'inventario dei componenti è sicurezza: non si può aggiornare ciò che non si sa di avere. Mostrò anche quanto costi un certificato scaduto su un sistema di monitoraggio, che lasciò il traffico cifrato senza controllo per mesi.

Preghiera di riparazione

O Struts, impalcatura di mezzo web, fa' che le nostre patch arrivino prima dei ladri e che i certificati dei nostri sensori non scadano in silenzio. Amen.

Come si ricorda

Si ricorda tenendo un inventario aggiornato delle librerie, applicando le patch critiche dei sistemi esposti in giorni e controllando la scadenza dei certificati degli strumenti di sicurezza.