Equifax skapar en skitstorm med orkanstyrka

Vad gör sedan du upptäckt att obehöriga tagit sig in i ditt datorsystem och stulit 143 miljoner könsliga kunduppgifter?

Du skriver ett tondövt, okänslig uselt ursäktande pressmeddelande och sedan säljer du dina aktier i bolaget.

På fredagen publicerade Equifax, ett amerikanskt kreditbolag, ett av de tre största i USA, information om ett mycket stort och omfattande intrång där 143 miljoner kontouppgifter stulits. I de stulna uppgifterna finns kreditkortsnummer, hemadresser, körkortsnummer och sociala försäkringsnummer tillhörande 143 miljoner amerikaner.

Olagligt

Redan i ingressen på pressmeddelandet så deklarerade Equifax att de inte hade några bevis för att informationen använts olagligt på något sätt. Det är faktiskt det första Equifax säger i sitt pressmeddelande innan de överhuvudtaget berättar vad som har hänt. Ursäkten är med andra ord långt mycket viktigare än informationen.

No Evidence of Unauthorized Access to Core Consumer or Commercial Credit Reporting Databases

Company to Offer Free Identity Theft Protection and Credit File Monitoring to All U.S. Consumers

I nästa mening spå skräms kunderna upp igen när Equifax i ett misslyckat försökt att lugna erbjuder hjälp för att inte få sina ID-uppgifter skapade. Även detta innan Equifax berättar vad som har hänt.

Intrånget

Intrånget begicks någon gång under sommaren, mellan maj och juni. Det upptäcktes i juli och det handlar om rekordmånga kontouppgifter, hela 143 miljoner uppgifter som alltså innehåller mängder av känslig, personlig information.

Så längt det valhänta och klumpiga hanterandet av att informera allmänheten.

Kort efter det att intrånget blivit kött så kommer det också att fram att tre höga chefer inom Equifax sålt av stora delar av sitt aktieinnehav i företaget. Trion hävdar alldeles bestämt att de inte gjorde affären efter att ha fått kännedom om intrånget. Det ska alltså bara var en olycklig slump.

Räck upp handen den som tror på det.

Ny webbplats

I ett försök att lugna oroliga kunder och kontoinnehavare drar sedan Equifax igång en ny webbplats där mer information ska finnas och där enskilda ska kunna kontrollera om just deras namn finns med bland de som drabbats.

www.equifaxsecurity2017.com

Webbplatsen förses med ett SSL-certfikat (https) och sedan börjar Equifax att lägga ut information. Så långt gått och väl om det nu inte vore för att SSL-certifikatet antingen är illa installerat eller så har Equifax valt ett certifikat från en osäker leverantör. Hur som helst så slår folks webbläsare larm – webbplatsen betraktas som osäker och användare får upp varningar om att den kan innehålla skadlig kod eller vara en bedräglig webbplats.

Orkanstyrka

Golfapplåd!

Även om det känns onödigt att påtala det så har kritiken mot Equifax nu växt till orkanstyrka och nu är det inte jag som försöker göra mig lustig mot bakgrind av att miljöer amerikaner just nu evakueras på flykt undan just en orkan. Det är det faktiska förhållandet.

Aktien störtdyker och företaget har med egna krafter lyckats att skapa en skitstorm av sällan skådat slag. Förmodligen så kommer Equifax inte bara att få till datorhistorien som ett företag vars datorsystem plundrades på rekordmånga kontouppgifter utan också som ett av de mer klumpiga företagen när det kommer till att informera allmänheten.

Ett skolboksexempel på hur inte gör.

Krebsonsecurity