艾可飞数据泄露 (Equifax)：为什么一个漏洞的补丁发布了两个月，一家征信机构还是没打上？

# 商业复盘备忘录：艾可飞数据泄露 (Equifax)

> 为什么一个漏洞的补丁发布了两个月，一家征信机构还是没打上？
> 周期: 2017 - 2019 | 行业: 金融与科技
> 巅峰: 美国三大个人信用评级机构之一，掌握数亿消费者的信用记录与身份信息，是信贷、租房与就业环节的关键基础设施
> 终局: 因未修补一个已知漏洞导致约 1.47 亿人信息泄露，CEO 与安全高管离职，最终以数亿美元和解与长期整改收场

## 核心概览
当资产是别人的隐私、而责任只体现在事后罚款里，修补就会一直排在后面。巅峰期美国三大个人信用评级机构之一，掌握数亿消费者的信用记录与身份信息，是信贷、租房与就业环节的关键基础设施；终局是因未修补一个已知漏洞导致约 1.47 亿人信息泄露，CEO 与安全高管离职，最终以数亿美元和解与长期整改收场。

## 社区公投头号死因
1. [产品技术] 补丁管理流程失效 (1,957 票)
2. [组织管理] 异常流量与数据外传未被及时发现 (1,644 票)
3. [组织管理] 安全责任未落到具体高管 (1,331 票)

## 可执行教训
### 补丁管理是流程问题，不是技术问题
> 漏洞公开之后，剩下的比拼就是谁的流程更快。

- ✅ 推荐做 (DOs):
  - 维护完整的资产清单并为高危补丁设定强制时限
  - 把安全负责人的权责提升到能推动跨部门整改的层级
- ❌ 绝不能做 (DON'Ts):
  - 不要把海量敏感数据集中在一处而不提高防护等级
  - 不要等事发后才检查补丁覆盖率

## 救亡方案
### 先封堵与排查，再把补丁与监测变成强制流程 — 良略编辑部
干预时点: 2017 年 7 月确认系统被入侵并存在数据外传时
- 必须断腕:
  - 立即隔离受影响系统并强制修补全部已知漏洞
  - 停止在没有资产清单的情况下做补丁评估
  - 停止由业务部门自行决定安全整改优先级
- 破局动作:
  - 建立完整资产清单并对高危补丁设定强制时限
  - 对数据外传与加密通道流量做持续监测与告警
  - 把安全负责人提升为直接向董事会汇报的角色
- 预期结果: 漏洞在补丁发布后短期内被全部封堵，异常外传被及时告警，公司避免上亿人信息泄露与数亿美元和解。

## 社区见解
### 漏洞公开的那一刻，攻防双方拿到的是同一份公告，区别只在谁的动作更快。 — 良略编辑部 (工程师)
这类入侵的起点通常并不复杂：一个已经发布补丁的组件漏洞。真正决定损失规模的是内部流程——有没有完整资产清单、有没有强制修补时限、有没有人能推动跨部门执行。这家机构在这些环节上都不够，加上对异常数据外传缺少监测，入侵持续了数月才被发现，而它集中保存的是上亿人的身份信息。
- 如果重来一次的纠偏招式 资产越敏感越集中，越应该把补丁与监测当成生产线来管理。

---
来源: 良略 · https://www.lianglue.com/c/equifax-breach