Velké úniky citlivých dat jsou v dnešní době běžné. Často jde o ukradení jmen, e-mailových adres či hesel jako v případě vůbec největšího známého úniku dat ze společnosti Yahoo. Takové úniky samozřejmě mohou způsobit poškozeným značné komplikace, obzvlášť pokud používají uniklé heslo i pro jiné služby. Následky však mohou být u jiných útoků ještě závažnější. Rozsáhlé úniky ze seznamek pro dospělé například vystavily řadu lidí vydírání.
Možná úplně nejzávažnější jsou však následky v případě útoků na pojišťovny a podobné společnosti, jako je posledně zasažený registr dlužníků společnosti Equifax. Ty totiž mají přístup i k velmi citlivým osobním údajům svých klientů: datům narození, adresám, údajům o zaměstnání a především číslům sociálního zabezpečení, která jsou v Americe užívána podobně jako naše rodná čísla. S těmito informacemi se dá již napáchat opravdu značná škoda.
„Na škále od jedné do desíti je to jasná desítka, pokud jde o potenciál pro krádež identity,“ tvrdí bezpečnostní analytik Avivah Litan. „Registry dlužníků shromažďují velká množství dat, které se týkají skoro všeho, co děláme.“ Tyto společnosti totiž v USA sbírají informace o závazcích osob: jaké mají a měli půjčky a jak je spláceli. Poskytují tak odhad úvěrového rizika osob.
Citlivost dat je obzvlášť hrozivá, vezmeme-li v potaz rozsah tohoto posledního úniku. Podle společnosti Equifax mohly být zcizeny údaje 143 milionu Američanů, tedy téměř poloviny obyvatelstva USA. S využitím těchto kradených údajů je přitom prý možné vydávat se za jiného člověka například při zařizování půjčky nebo kreditní karty, a riziko zneužití je tedy značné.
Proti zcizení svých osobních dat přitom nemohli lidé nic udělat. Equifax je jedním ze tří nejvýznamnějších registrů dlužníků v USA a jeho informace o klientech využívá velké množství služeb. Z informací, které od úniku vyšly na povrch, je přitom zřejmé, že společnost byla ohledně zabezpečení týče dost laxní. Útočníci podle všeho využili bezpečností díry v softwaru Apache Struts, který Equifax používal v jedné ze svých webových aplikací. Ale tato díra byla známa již od března a k dispozici byla aktualizovaná verze softwaru. Equifax podle vlastního přiznání o tomto faktu věděl a údajně „vyvinul snahu určit a opravit veškeré zranitelné systémy“. Snaha však zřejmě nestačila: útoky měly probíhat od 13. května až do 30. července, kdy Equifax zranitelnou aplikaci vypnul.
Kritice se nevyhnula ani následná reakce společnosti. Ačkoli o úniku věděla od 29. července, informovala o něm až o šest týdnů později. To však nezabránilo třem funkcionářům společnosti v tom, aby krátce poté, co se společnost o úniku dozvěděla, prodali vlastní akcie Equifaxu v hodnotě téměř 1,8 milionu dolarů. Žádný z nich údajně o úniku v té době nebyl informován.
Tyto prodeje akcií podle serveru Bloomberg vedly americké ministerstvo spravedlnosti k zahájení vyšetřování pro insider trading - tedy nezákonné obchodování s akciemi na základě neveřejných informací. Společnosti a jejím funkcionářům zde přitížilo i další zjištění, že Equifax byl jinému útoku vystaven již v březnu, přičemž o této události nebyla veřejnost vůbec informována. Podle společnosti spolu tyto útoky nesouvisely, Bloomberg však cituje nejmenovaný zdroj, podle kterého se jednalo v obou případech o stejné hackery.
Velké problémy měl i webový portál, který měl klientům pomoci zjistit, zda jsou právě jejich údaje v ohrožení. Zaprvé moc nefungoval, když některým lidem ukazoval na telefonu, že jsou jejich data v bezpečí, zatímco při zadání stejných údajů na počítači ukázal, že mohou být ohrožena. Zadruhé nabízel jako odškodnění na rok službu, která uživatele upozorní na případně podezřelé úkony pod jeho jménem. Smlouva pro tuto službu však obsahovala podezřele znějící část, která zdánlivě bránila příjemci soudit se s Equifaxem. Po naštvaných reakcích firma smlouvu upravila tak, aby bylo zřejmé, že se nejde o zřeknutí se práva na žalobu.
Na to, kde ležely priority Equifaxu, zajímavým způsobem poukazuje HuffPost pomocí analýzy slov ve výročních zprávách a srovnání s konkurencí. V nich se neustále opakuje „růst“ (345x) nebo „akcionář“ (238x), zatímco se prakticky vůbec neobjevují slova jako „soukromí“ (1x) nebo „bezpečnost informací“ (0x). New York Times přitom upozorňují, že ani tento závažný únik nemusí vést v Americe k zavádění regulačních opatření.
