Violación de datos de Equifax en 2017

Entre mayo y julio de 2017, la agencia de informes crediticios estadounidense Equifax sufrió una brecha de seguridad . Los datos personales de 147,9 millones de estadounidenses, 15,2 millones de británicos y unos 19 000 canadienses se vieron comprometidos, convirtiéndose en uno de los mayores ciberdelitos relacionados con el robo de identidad . Equifax descubrió la brecha a finales de julio, pero no la hizo pública hasta septiembre de 2017. En un acuerdo con la Comisión Federal de Comercio de Estados Unidos , Equifax ofreció a los usuarios afectados una compensación económica y servicios gratuitos de monitorización de crédito.

En febrero de 2020, el gobierno de Estados Unidos acusó a miembros del Ejército Popular de Liberación de China de piratear Equifax y saquear datos confidenciales como parte de un robo masivo que también incluyó el robo de secretos comerciales, aunque el Partido Comunista Chino negó estas acusaciones. ^{[ 1 ] [ 2 ]}

La información a la que se accedió en la filtración incluía nombres y apellidos, números de Seguro Social, fechas de nacimiento, direcciones y, en algunos casos, números de licencia de conducir de aproximadamente 143 millones de estadounidenses, según el análisis de Equifax. ^{[ 3 ]}

También se vio comprometida la información de casi 14 millones de residentes británicos, ^{[ 4 ]} así como la de 8000 residentes canadienses. ^{[ 5 ] [ 6 ] [ 7 ] [ 8 ]} Otros 11670 canadienses también se vieron afectados, según reveló posteriormente Equifax. ^{[ 9 ]} También se accedió a los números de tarjetas de crédito de aproximadamente 209000 consumidores estadounidenses y a ciertos documentos de disputas con información de identificación personal de aproximadamente 182000 consumidores estadounidenses. ^{[ 10 ] [ 11 ]}

Una auditoría interna de Equifax realizada en 2015 reveló una importante acumulación de vulnerabilidades sin resolver. La auditoría constató que Equifax no cumplía con sus propios cronogramas de actualización, el personal de TI carecía de un inventario completo de activos y la empresa no priorizaba las actualizaciones según la criticidad de los activos de TI. Además, el proceso de actualización se basaba en la buena fe, sin una aplicación estricta. El informe describía acciones para mejorar las medidas de seguridad, pero para cuando se produjo la brecha de seguridad dos años después, muchas de ellas no se habían implementado. ^{[ 12 ]}

El 7 de marzo de 2017 se publicó un parche de seguridad clave para Apache Struts , un marco de trabajo para aplicaciones web , tras la identificación de una vulnerabilidad de seguridad crítica, y se instó a todos los usuarios del marco a actualizarlo inmediatamente. ^{[ 13 ]} Expertos en seguridad detectaron un grupo de hackers de origen desconocido que buscaba sitios web que no hubieran actualizado Struts ya el 10 de marzo de 2017. ^{[ 14 ]}

La filtración de datos de Equifax comenzó el 12 de mayo de 2017, cuando Equifax aún no había actualizado su sitio web de disputas de crédito con la última versión de Apache Struts . ^{[ 15 ] [ 16 ]} Aprovechando esta vulnerabilidad, los hackers obtuvieron acceso a servidores internos dentro de la red corporativa de Equifax. Inicialmente, obtuvieron credenciales internas de empleados de Equifax, lo que les permitió acceder y consultar las bases de datos de monitoreo de crédito haciéndose pasar por usuarios autorizados. Utilizando cifrado para ocultar aún más sus búsquedas, los hackers realizaron más de 9000 escaneos de las bases de datos. Extrajeron información en pequeños archivos temporales, los exfiltraron de los servidores de Equifax para evadir la detección y eliminaron los archivos después de la extracción. ^{[ 17 ]} La intrusión continuó sin ser detectada durante 76 días hasta el 29 de julio de 2017, cuando Equifax descubrió la filtración. ^{[ 18 ] [ 3 ] [ 11 ]} Esta brecha también fue posible en gran medida debido al nombre de usuario y contraseña predeterminados "admin" y la falta de autenticación de dos factores en cuentas de alto acceso. Esto permitió a los piratas informáticos obtener acceso con la autenticación adecuada para evitar ser detectados mientras continuaban con sus ataques en el servidor. Esto, junto con otras violaciones de seguridad importantes, fue la base de la demanda colectiva de 2019. ^{[ 19 ]}

El 29 de julio de 2017, el equipo interno de TI de Equifax actualizó un certificado SSL ( Secure Sockets Layer ) para una aplicación que monitoreaba el tráfico de red entrante y saliente . El certificado SSL permitía a la aplicación descifrar el tráfico saliente para analizarlo. ^{[ 20 ]} Una vez instalado el nuevo certificado SSL, la aplicación alertó a los empleados de Equifax sobre actividad de red sospechosa. El certificado había caducado hacía nueve meses. ^{[ 21 ]}

Para el 30 de julio, Equifax había cerrado la vulnerabilidad. ^{[ 14 ]} Al menos 34 servidores en 20 países diferentes se utilizaron en varios momentos durante la brecha, lo que complicó los esfuerzos para rastrear a los perpetradores. ^{[ 17 ]} Si bien la falta de actualización de Apache Struts fue un problema significativo, el análisis de la brecha identificó debilidades de seguridad adicionales que contribuyeron al incidente. Estas incluyeron un diseño de red inseguro que carecía de segmentación suficiente, ^{[ 22 ]} un cifrado potencialmente inadecuado de la información de identificación personal (PII), ^{[ 23 ]} y mecanismos de detección de brechas ineficaces . ^{[ 24 ]}

El 7 de septiembre de 2017, Equifax reveló la filtración y su alcance, que afectó a más de 140 millones de estadounidenses. ^{[ 25 ]} VentureBeat calificó la exposición de datos de más de 140 millones de clientes como "una de las mayores filtraciones de datos de la historia". ^{[ 26 ]} Las acciones de Equifax cayeron un 13% en las primeras operaciones del día después de que se hiciera pública la filtración. ^{[ 27 ]} Numerosos medios de comunicación aconsejaron a los consumidores que solicitaran un bloqueo de crédito para reducir el impacto de la filtración. ^{[ 28 ] [ 29 ] [ 30 ] [ 31 ]}

El 10 de septiembre de 2017, tres días después de que Equifax revelara la filtración, el congresista Barry Loudermilk (republicano por Georgia), quien había recibido dos mil dólares en fondos de campaña de Equifax, ^{[ 32 ] [ 33 ]} presentó un proyecto de ley ante la Cámara de Representantes de los Estados Unidos que reduciría las protecciones al consumidor en relación con las agencias de crédito del país, incluyendo un límite máximo de 500 000 dólares para los posibles daños en una demanda colectiva, independientemente del tamaño del grupo o la cantidad de la pérdida. ^{[ 34 ]} El proyecto de ley también eliminaría todos los daños punitivos . ^{[ 34 ] [ 35 ]} Tras las críticas de los defensores del consumidor, Loudermilk accedió a posponer la consideración del proyecto de ley "en espera de una investigación completa y exhaustiva sobre la filtración de Equifax". ^{[ 34 ]}

El 15 de septiembre, Equifax emitió un comunicado anunciando la salida inmediata y el reemplazo de su director de información y su director de seguridad. ^{[ 11 ] [ 36 ]} El comunicado incluía detalles sobre la intrusión, sus posibles consecuencias para los consumidores y la respuesta de la empresa. La empresa afirmó haber contratado a la firma de ciberseguridad Mandiant el 2 de agosto para investigar internamente la intrusión. El comunicado no especificaba cuándo se notificó a las autoridades del gobierno estadounidense sobre la brecha de seguridad, aunque sí afirmaba que "la empresa continúa colaborando estrechamente con el FBI en su investigación". ^{[ 11 ]}

El 26 de septiembre, Equifax anunció la jubilación del director ejecutivo Richard Smith , de 57 años, quien accedió a permanecer como asesor no remunerado para ayudar en la transición a un nuevo director ejecutivo. ^{[ 37 ] [ 38 ]}

El 28 de septiembre, el nuevo director ejecutivo de Equifax, Paulino do Rego Barros Jr., respondió a las críticas contra Equifax prometiendo que la empresa, a partir de principios de 2018, permitiría a "todos los consumidores la opción de controlar el acceso a sus datos crediticios personales", y que este servicio se ofrecería "de forma gratuita, de por vida". ^{[ 39 ]}

El 26 de octubre, Equifax nombró al ejecutivo tecnológico Scott A. McGregor miembro de su junta directiva. Al anunciar el cambio, el presidente de la junta destacó la "amplia experiencia de McGregor en seguridad de datos, ciberseguridad, tecnología de la información y gestión de riesgos". ^{[ 40 ] [ 41 ]} El Wall Street Journal informó que se unió al comité de tecnología de la junta, cuyas funciones incluyen la supervisión de la ciberseguridad. ^{[ 42 ]}

Desde la divulgación inicial en septiembre de 2017, Equifax amplió el número de registros que descubrieron que fueron accedidos. Tanto en octubre de 2017 como en marzo de 2018, Equifax informó que se accedió a 2,5 y 2,4 millones de registros de consumidores estadounidenses adicionales, respectivamente, lo que elevó el total a 147,9 millones. ^{[ 43 ] [ 44 ]} Equifax redujo su estimación para los consumidores del Reino Unido afectados por la filtración a 15,2 millones en octubre de 2017, ^{[ 45 ] [ 46 ]} de los cuales 693.665 tenían datos personales sensibles divulgados. ^{[ 47 ] [ 48 ] [ 45 ] [ 49 ] [ 46 ]} Equifax también estimó que el número de licencias de conducir vulneradas en el ataque fue de 10 a 11 millones. ^{[ 50 ] [ 51 ] [ 52 ]}

Los expertos en seguridad esperaban que los lucrativos datos privados de la filtración se revendieran en mercados negros y en la web oscura , aunque hasta mayo de 2021 no había señales de ninguna venta de estos datos. ^{[ 1 ]} Debido a que los datos no aparecieron inmediatamente en los primeros 17 meses posteriores a la filtración, los expertos en seguridad teorizaron que o bien los hackers responsables de la filtración estaban esperando un tiempo considerable antes de vender la información, ya que sería demasiado "caliente" venderla tan cerca de la filtración, o bien que un Estado nación estaba detrás de la filtración y planeaba utilizar los datos de forma no financiera, como para espionaje. ^{[ 53 ]}

Se presentaron numerosas demandas contra Equifax en los días posteriores a la divulgación de la filtración. ^{[ 54 ] [ 55 ]} En una de las demandas, el bufete de abogados Geragos & Geragos indicó que buscaría hasta 70 mil millones de dólares en daños y perjuicios, lo que la convertiría en la mayor demanda colectiva en la historia de Estados Unidos. ^{[ 54 ]} Desde octubre de 2017, cientos de consumidores han demandado a Equifax por la filtración de datos, algunos ganando casos de menor cuantía por más de 9000 dólares, incluyendo daños reales, daños futuros, ansiedad, tarifas de monitoreo y daños punitivos. ^{[ 56 ]}

En septiembre de 2017, Richard Cordray , entonces director de la Oficina de Protección Financiera del Consumidor (CFPB), autorizó una investigación sobre la filtración de datos en nombre de los consumidores afectados. Sin embargo, en noviembre de 2017, Reuters informó que Mick Mulvaney , jefe de presupuesto del presidente Donald Trump, quien fue nombrado por Trump para reemplazar a Cordray, había "retirado" la investigación, además de archivar los planes de Cordray para realizar pruebas in situ sobre cómo Equifax protege los datos. La CFPB también rechazó a los reguladores bancarios de la Reserva Federal , la Corporación Federal de Seguro de Depósitos y la Oficina del Contralor de la Moneda, quienes se ofrecieron a colaborar con exámenes in situ de las agencias de crédito. ^{[ 57 ]} La senadora Elizabeth Warren , quien publicó un informe sobre la filtración de Equifax en febrero de 2018, criticó las acciones de Mulvaney, declarando: "Estamos presentando este informe mientras Mick Mulvaney está acabando con la investigación de la agencia de protección al consumidor sobre la filtración de Equifax. Mick Mulvaney vuelve a mostrar su desprecio hacia los consumidores". ^{[ 58 ]}

El 22 de julio de 2019, Equifax llegó a un acuerdo con la Comisión Federal de Comercio (FTC), la Oficina de Protección Financiera del Consumidor (CFPB), 48 estados de EE. UU., Washington D. C. y Puerto Rico para mitigar los daños a las personas afectadas y realizar cambios organizativos para evitar violaciones similares en el futuro. El costo total del acuerdo incluyó 300 millones de dólares para un fondo de compensación a las víctimas, 175 millones de dólares para los estados y territorios que participaron en el acuerdo y 100 millones de dólares para la CFPB en multas. ^{[ 59 ]} En julio de 2019, la FTC publicó información sobre cómo las personas afectadas podían presentar una reclamación contra el fondo de compensación a las víctimas a través del sitio web EquifaxBreachSettlement.com . ^{[ 60 ]}

En el Reino Unido, la Autoridad de Conducta Financiera impuso una multa de 11.164.400 libras esterlinas por no proteger la información de los consumidores británicos. ^{[ 61 ]}

El Departamento de Justicia de Estados Unidos anunció el 10 de febrero de 2020 que había imputado a cuatro miembros del ejército chino por nueve cargos relacionados con el ciberataque, aunque no ha habido pruebas adicionales de que China haya utilizado posteriormente los datos del ataque. ^{[ 62 ] [ 63 ] [ 64 ]} El gobierno chino negó que los cuatro acusados ​​tuvieran alguna participación en el ciberataque. ^{[ 1 ]}

Tras el anuncio de la filtración de datos ocurrida entre mayo y julio de 2017, las acciones de Equifax recibieron críticas generalizadas. Equifax no reveló de inmediato si se habían visto comprometidos los PIN y otra información confidencial, ni explicó la demora entre el descubrimiento de la filtración en julio y su anuncio público a principios de septiembre. ^{[ 65 ]} Equifax declaró que la demora se debió al tiempo necesario para determinar el alcance de la intrusión y la gran cantidad de datos personales involucrados. ^{[ 66 ]}

También se reveló que tres ejecutivos de Equifax vendieron casi 1,8 millones de dólares de sus participaciones personales en acciones de la empresa días después de que Equifax descubriera la filtración, pero más de un mes antes de que se hiciera pública. ^{[ 67 ]} La empresa afirmó que los ejecutivos, incluido el director financiero John Gamble, ^{[ 68 ] [ 27 ]} "no tenían conocimiento de que se hubiera producido una intrusión en el momento en que vendieron sus acciones". ^{[ 69 ]} El 18 de septiembre, Bloomberg informó que el Departamento de Justicia de EE. UU . había abierto una investigación para determinar si se habían infringido o no las leyes sobre uso de información privilegiada. ^{[ 70 ]} "Como señala Bloomberg, estas transacciones no eran operaciones programadas previamente y tuvieron lugar el 2 de agosto, tres días después de que la empresa se enterara del ataque".

Al revelar públicamente la intrusión en sus sistemas, Equifax ofreció un sitio web ( https://www.equifaxsecurity2017.com ^{[ 71 ]} ) para que los consumidores pudieran averiguar si habían sido víctimas de la brecha de seguridad. Los expertos en seguridad no tardaron en percatarse de que el sitio web presentaba muchas características comunes con un sitio de phishing : no estaba alojado en un dominio registrado a nombre de Equifax, tenía una implementación TLS defectuosa y funcionaba con WordPress , que generalmente no se considera adecuado para aplicaciones de alta seguridad. Estos problemas llevaron a OpenDNS a clasificarlo como un sitio de phishing y bloquear el acceso. ^{[ 72 ]} Además, los usuarios que deseaban utilizar el sitio web de Equifax para averiguar si sus datos habían sido comprometidos debían proporcionar su apellido y seis dígitos de su número de la seguridad social. ^{[ 73 ]}

El sitio web creado para comprobar si los datos personales de una persona habían sido vulnerados ( trustedidpremier.com ) fue determinado por expertos en seguridad y otros que devolvía resultados aparentemente aleatorios en lugar de información precisa. ^{[ 73 ]} Al igual que https://www.equifaxsecurity2017.com , este sitio web también fue registrado y construido como un sitio web de phishing, y fue marcado como tal por varios navegadores web. ^{[ 74 ]}

El sitio web Trusted ID Premier contenía términos de uso , fechados el 6 de septiembre de 2017 (el día antes de que Equifax anunciara la brecha de seguridad) que incluían una cláusula de arbitraje con una renuncia a demandas colectivas. ^{[ 75 ] [ 76 ]} Los abogados dijeron que la cláusula de arbitraje era ambigua y que podría obligar a los consumidores que la aceptaran a someter a arbitraje las reclamaciones relacionadas con el incidente de ciberseguridad. ^{[ 76 ]} Según Polly Mosendz y Shahien Nasiripour, "algunos temían que el simple hecho de usar un sitio web de Equifax para comprobar si su información había sido comprometida los obligara a someterse a arbitraje". ^{[ 77 ]} El sitio web equifax.com tiene términos de uso separados con una cláusula de arbitraje y una renuncia a demandas colectivas, pero, según Brian Fung de The Washington Post , "no está claro si eso se aplica al programa de monitoreo de crédito". ^{[ 78 ]} El fiscal general de Nueva York, Eric Schneiderman, exigió que Equifax eliminara la cláusula de arbitraje. ^{[ 79 ]} En respuesta a las inquietudes relacionadas con el arbitraje, el 8 de septiembre, Equifax emitió un comunicado en el que afirmaba que "en respuesta a las consultas de los consumidores, hemos dejado claro que la cláusula de arbitraje y la renuncia a demandas colectivas incluidas en los términos de uso de Equifax y TrustedID Premier no se aplican a este incidente de ciberseguridad". ^{[ 79 ]} Joel Winston, abogado especializado en protección de datos, argumentó que el anuncio que exime de la aplicación de la cláusula de arbitraje "no significa nada" porque los términos de uso establecen que constituyen el "acuerdo completo" entre las partes. ^{[ 79 ]} Posteriormente, la cláusula de arbitraje se eliminó de equifaxsecurity2017.com, ^{[ 79 ]} y los términos de uso de equifax.com se modificaron el 12 de septiembre para indicar que no se aplican a www.equifaxsecurity2017.com, www.trustedidpremier.com ni www.trustedid.com, y para excluir del arbitraje las reclamaciones derivadas de esos sitios o de la violación de seguridad. ^{[ 80 ] [ 81 ]}

En respuesta a la continua indignación pública, ^{[ 82 ]} Equifax anunció el 12 de septiembre de 2017 que "eximirán de todas las tarifas de Security Freeze durante los próximos 30 días". ^{[ 83 ] [ 84 ]}

Equifax ha sido criticada por expertos en seguridad por registrar un nuevo nombre de dominio para el sitio web en lugar de usar un subdominio equifax.com. El 20 de septiembre de 2017, se informó que Equifax había estado enlazando erróneamente a un sitio web "falso" no oficial en lugar de a su propio sitio de notificación de filtraciones en al menos ocho tuits distintos , lo que, sin saberlo, contribuyó a dirigir aproximadamente 200.000 visitas al sitio de imitación. Un ingeniero de software llamado Nick Sweeting creó el sitio web no autorizado de Equifax para demostrar cómo el sitio oficial podía confundirse fácilmente con un sitio de phishing . ^{[ 85 ]} El sitio de Sweeting advertía a los visitantes que no era oficial, advirtiendo a quienes habían introducido información confidencial: "¡Te han engañado! ¡Este no es un sitio seguro ! ¡Envía un tuit a @equifax para que lo cambien a equifax.com antes de que miles de personas pierdan su información en sitios de phishing!" . Equifax se disculpó por la "confusión" y eliminó los tuits que enlazaban a este sitio. ^{[ 86 ] [ 87 ] [ 88 ]}

• guerra cibernética china
• Espionaje chino en Estados Unidos