Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

L’attacco a Equifax? Colpa di un singolo dipendente (e di chi ha scritto le procedure)

Ott 04, 2017 Marco Schiaffino Attacchi, Gestione dati, Hacking, Intrusione, News, RSS, Vulnerabilità 0

Secondo la dirigenza, l’incaricato che doveva avvisare della patch non lo ha fatto. Quindi gli aggiornamenti dipendono da una singola persona?

A circa un mese dalla notizia della violazione dei sistemi di Equifax (l’ente che raccoglie i dati sulla “reputazione” creditoria di milioni idi consumatori anglosassoni) cominciano a emergere i primi dettagli sulle responsabilità legate ai mancati aggiornamenti che hanno permesso l’intrusione.

Nel caso specifico, come abbiamo spiegato in un articolo precedente, la patch riguardava una falla in Apache Struts, resa pubblica (in contemporanea all’aggiornamento) lo scorso marzo. L’aggiornamento, però, non è stato installato.

E da quello che si legge, la giustificazione di Equifax è la classica toppa peggiore del buco. Stando a quanto riporta Simon Sharwood di The Register, che ha avuto la pazienza di seguire il video di tre ore dell’audizione di fronte a una commissione per la difesa dei consumatori, i vertici dell’agenzia imputerebbero il tutto a un “errore umano”.

In sintesi, l’amministratore delegato di Equifax Rick Smith avrebbe infatti sostenuto davanti alla commissione (intorno al minuto 1:05:00 del video) che la patch per correggere la vulnerabilità che ha causato il fattaccio non sarebbe stata applicata perché “l’impiegato che aveva il compito di comunicare la necessità di eseguire gli aggiornamenti non lo ha fatto”.

L’espressione del CEO di Equifax Rick Smith mentre spiega perché la patch non è stata applicata spiega meglio di qualsiasi altra cosa il suo livello di imbarazzo di fronte alla commissione.

Tradotto in pratica, questo significa che un colosso come Equifax, a cui sono affidati dati sensibili riguardanti milioni di cittadini negli Stati Uniti, UK e Australia avrebbe una procedura di patching degna di una media impresa brianzola.

Niente software di patch management, sistemi di virtual patching o pianificazioni controllate, ma un singolo dipendente che invia email ai tecnici per sollecitare l’applicazione delle patch. E se sbaglia, i dati di 143 milioni di consumatori finiscono nelle mani dei pirati. Chi se lo poteva aspettare?