Equifax : une faille connue ouvre l’accès aux identités de millions de personnes

Equifax détient des données utilisées pour évaluer la situation financière de consommateurs. En 2017, une intrusion expose les informations d’environ 147 millions de personnes. Certaines ne sont pas des clients ayant consciemment choisi de confier ces informations à cette entreprise.

Les autorités décrivent l’exploitation d’une vulnérabilité connue d’Apache Struts dans une application web. Un correctif avait été publié, mais le système concerné n’était pas correctement protégé. Le problème n’exige donc pas nécessairement la découverte d’une faiblesse secrète inconnue de tout le monde.

Une fois entrés, les attaquants accèdent à d’autres ressources et extraient des données. Le contenu comprend notamment des noms, des dates de naissance et des numéros d’identification. Il ne s’agit pas simplement d’un vol de mots de passe que chaque victime pourrait changer en quelques minutes.

La découverte du trafic suspect entraîne l’arrêt de l’application concernée et une enquête. La révélation publique provoque une crise de confiance et l’intervention des autorités de protection des consommateurs. Des mesures de surveillance et de réparation sont organisées dans le cadre de procédures ultérieures.

En 2020, la justice américaine accuse quatre membres de l’armée chinoise d’avoir participé à l’opération. Une accusation ne constitue pas un jugement définitif. L’attribution doit rester attachée à cette procédure, sans inventer la destination finale de chaque donnée volée.

L’affaire rappelle qu’un butin numérique peut survivre longtemps au piratage. On peut remplacer une carte bancaire ; remplacer sa date de naissance ou son histoire administrative est une autre affaire. Le coût du vol ne se mesure pas uniquement à ce que ses auteurs auraient revendu.