Equifax信息泄露始末笔记

读后笔记

1.使用开源的框架必须实时关注其动态，特别是安全漏洞方面

2.任何公开的入口，都必须进行严格的安全检查

3.框架的选型十分重要，必须将安全考察进去，选择使用比较成熟的框架。

作为架构师及产品负责人应该及时关注框架安全方面的相关漏洞，对未来可能产生的影响做到未雨绸缪。

 

Equifax 信息泄露始末

Equifax 日前确认，黑客利用了其系统中未修复的 Apache Struts 漏洞(CVE-2017-5638，

2017 年 3 月 6 日曝光)来发起攻击，导致了最近这次影响恶劣的大规模数据泄露事件。

作为美国三大信用报告公司中历史最悠久的一家，Equifax 的主营业务是为客户提供美国、加拿 大和其他多个国家的公民信用信息。保险公司就是其服务的主要客户之一，涉及生命、汽车、火 灾、医疗保险等多个方面。

此外，Equifax 还提供入职背景调查、保险理赔调查，以及针对企业的信用调查等服务。由于

Equifax 掌握了多个国家公民的信用档案，包括公民的学前、学校经历、婚姻、工作、健康、政

治参与等大量隐私信息，所以这次的信息泄露，影响面积很大，而且性质特别恶劣。

受这次信息泄露影响的美国消费者有 1.43 亿左右，另估计约有 4400 万的英国客户和大量加拿 大客户受到影响。事件导致 Equifax 市值瞬间蒸发掉逾 30 亿美元。

Apache Struts 漏洞相关

Apache Struts 是世界上最流行的 Java Web 服务器框架之一，它最初是 Jakarta 项目中的一个

子项目，并在 2004 年 3 月成为 Apache 基金会的顶级项目。

Struts 通过采用 Java Servlet/JSP 技术，实现了基于 Java EE Web 应用的 MVC 设计模式的应 用框架，也是当时第一个采用 MVC 模式的 Web 项目开发框架。随着技术的发展和认