Het Amerikaanse ministerie van Justitie is een onderzoek begonnen naar kredietbureau Equifax. Bij een grote cyberaanval kregen hackers daar toegang tot de persoonlijke gegevens van 143 miljoen Amerikanen. Ondertussen zijn er ook verdachte aandelentransacties opgedoken.
Het Amerikaanse kredietbureau Equifax heeft een bewogen paar weken achter de rug. Eerder deze maand moest het bedrijf toegeven dat bij een gigantische hack persoonlijke informatie over 143 miljoen Amerikanen, Canadezen en Britten was ontfutseld. Nu blijkt dat het bedrijf mogelijk al enkele maanden voordien aangevallen was. Volgens nieuwssite Bloomberg detecteerde Equifax in maart al een inbraak op het netwerk, vijf maanden voordat cybercriminelen met de financiële data van zowat half de Amerikaanse bevolking aan de haal gingen. Bij de gestolen data zitten onder meer om kredietkaartgegevens, huisadressen, geboortedata en ‘social security’ nummers, zo’n beetje de Amerikaanse rijksregisternummers.
Volgens Equifax zelf heeft de eerste aanval niets met de recente hack te maken. Het bedrijf kwam uit op die recentere aanval op 29 juli, maar het kwam pas met het nieuws naar buiten op 7 september. Dat is niet naar de zin van enkele Amerikaanse senatoren, die om meer uitleg gevraagd hebben. De directe aanleiding van het onderzoek van de Amerikaanse justitie is echter een verdachte aandelentransactie. Topbestuurders van Equifax, waaronder de financieel directeur, hebben namelijk voor 1,8 miljoen dollar aan aandelen verkocht in de periode tussen het interne onderzoek en het openbaar maken van het lek. Mogelijk hebben ze toen met voorkennis gehandeld. Equifax ontkent dit. Na het bekend worden van de cyberaanval ging de koers van Equifax hard omlaag.
Hoe het niet moet
Nu steeds meer details over de hack naar boven komen, blijkt dat Equifax, voor een bedrijf dat zoveel gevoelige data beheert en, ironisch, diensten aanbiedt die tegen identiteitsdiefstal beschermen, bijzonder laks omging met al die gegevens. Zo bleek bij de hack ook gegevens van 400.000 Britten gestolen te zijn, data die helemaal niet op de Amerikaanse servers thuishoorden, maar daar door een ‘fout proces’ toch enkele jaren waren opgeslagen.
In een blogpost op de site die het bedrijf heeft opgericht om klanten te informeren, meldt Equifax bovendien dat het sinds maart wist van kwetsbaarheden in een applicatie, maar dat het er pas eind juli, de dag na de grote aanval, in slaagde om die kwetsbaarheden effectief te patchen.
De chief security officer en chief information officer van het bedrijf staan ondertussen al op straat. Het is aan securitybedrijf Mandiant (aangetrokken op 2 augustus) en een CIO en CSO ad interim om het zaakje weer recht te trekken. (ANP / Data News)
Fout opgemerkt of meer nieuws? Meld het hier