艾可飞对一个已知的软件漏洞放任不补——暴露了 1.47 亿人的数据

艾可飞是美国三大征信机构之一，掌握着数亿人的个人和财务数据。2017 年，它披露了史上最大的数据泄露之一：攻击者利用了一个网页软件 Apache Struts 中的已知漏洞，获取了约 1.47 亿人的个人数据——社会保障号、出生日期、住址，有些情况下还有驾照号和信用卡信息。

最致命的一点是，这个漏洞并非未知。补丁在泄露发生前几个月就已可用，艾可飞却没有在它的系统中打上。攻击者在网络里活动了好几周都没被发现，而公司没能检测和遏制入侵，让损害进一步扩大。

后果很严重。艾可飞首席执行官理查德·史密斯辞职。公司同意了一项最高 7 亿美元的和解，包括对受影响消费者的赔偿和罚款，并面临国会听证和持久的声誉损害。这起泄露成为网络安全的一个里程碑案例——清楚说明未能打上一个已知、可用的补丁，如何能暴露近半个国家最敏感的数据。