事例・2017年
Equifax の個人情報流出
Equifax の個人情報流出（英語名 Equifax data breach）は、信用情報機関 (消費者信用調査)で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 更新
- 検知
要点
- 侵入口 2017年3月7日に公開された Apache Struts の脆弱性を修正しないまま、オンラインの苦情受付ポータル (ACIS) で使い続け、そこを突かれた
- 決定的な失敗 社内に修正の警告を出したのに ACIS の Struts は修正されず、さらに暗号化通信を検査する装置の証明書が期限切れで、持ち出しの通信が検査されていなかった
- 被害 同社は米国の約1億4,550万人の個人情報に加え、2018年3月に約240万人を追加で特定したと開示した。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口苦情受付ポータル (ACIS)
2017年3月7日に公開された Apache Struts の脆弱性を修正しないまま、オンラインの苦情受付ポータル (ACIS) で使い続け、そこを突かれた。
- 2決定的な失敗ACIS の Struts
社内に修正の警告を出したのに ACIS の Struts は修正されず、さらに暗号化通信を検査する装置の証明書が期限切れで、持ち出しの通信が検査されていなかった。
- 3決定的な失敗暗号化通信を検査する装置
社内に修正の警告を出したのに ACIS の Struts は修正されず、さらに暗号化通信を検査する装置の証明書が期限切れで、持ち出しの通信が検査されていなかった。
- 4被害個人情報
同社は米国の約1億4,550万人の個人情報に加え、2018年3月に約240万人を追加で特定したと開示した。
- 1侵入口苦情受付ポータル (ACIS)
2017年3月7日に公開された Apache Struts の脆弱性を修正しないまま、オンラインの苦情受付ポータル (ACIS) で使い続け、そこを突かれた。
- 2決定的な失敗ACIS の Struts
社内に修正の警告を出したのに ACIS の Struts は修正されず、さらに暗号化通信を検査する装置の証明書が期限切れで、持ち出しの通信が検査されていなかった。
- 3決定的な失敗暗号化通信を検査する装置
社内に修正の警告を出したのに ACIS の Struts は修正されず、さらに暗号化通信を検査する装置の証明書が期限切れで、持ち出しの通信が検査されていなかった。
- 4被害個人情報
同社は米国の約1億4,550万人の個人情報に加え、2018年3月に約240万人を追加で特定したと開示した。
被害
同社は米国の約1億4,550万人の個人情報に加え、2018年3月に約240万人を追加で特定したと開示した。下院監督委員会の報告書は総数を1億4,800万人としている
決定的な失敗
- 1社内に修正の警告を出したのに ACIS の Struts は修正されず、さらに暗号化通信を検査する装置の証明書が期限切れで、持ち出しの通信が検査されていなかった。
経過
2017年3月7日から1070日間の記録。軸は日数の平方根で縮めています。
- 2017.03.070日目
Apache Struts の重大な脆弱性が公開された
- 2017.03.092日目
同社の脆弱性管理チームが警告を社内の400人超に送り、Struts を使う担当者に短い期限での修正を求めた
- 2017.05.1367日目
攻撃者が侵入を始めた。発見までの侵入期間は76日間だった
- 2017.07.29144日目
期限切れの証明書を更新した直後に不審な通信に気づいた。下院報告書によると証明書は2016年1月31日に失効しており、19か月間検査できていなかった
- 2017.09.07184日目
同社が約1億4,300万人に影響する事件として公表した
- 2018.03.01359日目
同社が約240万人の追加を公表した
- 2020.02.101070日目
米司法省が中国人民解放軍第54研究所の所属とされる4人の起訴を発表した
防げた手立て
番号は攻撃の道筋の図と対応します。
-
資産台帳
効く場所 1 -
パッチ適用の確認
効く場所 12 -
証明書の期限監視
効く場所 3 -
監視装置自身の稼働監視
効く場所 3 -
認証情報の平文保存の禁止
効く場所 4
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
収録データにはまだ出ていない
関係するグループ
収録データにはまだ出ていない
出典
- The Equifax Data Breach (Majority Staff Report) 米下院監督・政府改革委員会・2018-12
- GAO-18-559 Data Protection：Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach GAO・2018-08
- Equifax press release (Form 8-K Exhibit 99.1, March 1, 2018) Equifax (SEC 提出書類)・2018-03-01
- Equifax Form 10-Q (quarter ended March 31, 2018) Equifax (SEC 提出書類)
- Chinese Military Personnel Charged with Computer Fraud, Economic Espionage and Wire Fraud for Hacking into Credit Reporting Agency Equifax 米司法省・2020-02-10
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）