В начале сентября 2017 года стало известно о масштабной утечке данных, которую допустило одно из крупнейших бюро кредитных историй в мире, Equifax. Тогда представители североамериканского подразделения Equifax сообщили, что неизвестные злоумышленники завладели личной информацией 143 млн человек (всего в США проживает 324 млн человек), включая их номера социального страхования и водительских удостоверений, полные имена, адреса и так далее. Ранее на этой неделе стало известно, что также пострадали 15,2 млн жителей Великобритании и около 8000 канадских пользователей.
Напомню, что после того, как об инциденте стало известно, компания Equifax подверглась жесткой критической со стороны ИБ-специалистов. Проблема заключалась даже не в самой утечке данных половины жителей США, а в том, как представители Equifax справлялись с ее последствиями. Подробнее о том, как Equifax своими руками создала невероятную путаницу с веб-сайтами для пострадавших; направляла жертв утечки на фейковый ресурс; а система подачи заявок на защиту от кражи личности TrustedID Premier практически не работала, можно почитать здесь.
11-12 октября 2017 года пользователи и эксперты обратили внимание, что с официальным сайтом Equifax (equifax.com) снова произошло что-то нехорошее. Ресурс предлагал посетителям установить фальшивые обновления для Adobe Flash, скачивание которых влекло за собой установку адвари.
Проблему заметил, к примеру, независимый исследователь Рэнди Абрамс (Randy Abrams), который решил заглянуть на сайт компании из-за ошибки в своей кредитной истории. Неожиданно в браузере Абрамса открылась страница, расположенная на hxxp//:centerbluray.info, которая демонстрировала вот это:
Абрамс говорит, что буквально не поверил своим глазам, ведь совсем недавно из-за бреши в безопасности Equifax допустила утечку данных сотен миллионов человек. Понимая, что скомпрометировавшие сайт злоумышленники, скорее всего, осторожны и показывают свою «наживку» лишь некоторым посетителям, исследователь все же решил проверить еще раз. К его удивлению, ему продолжили предлагать фальшивое обновление для Flash в ходе трех последующих визитов на сайт. Абрамс даже смог записать происходившее на видео.
Пока не совсем ясно, что именно сделали неизвестные злоумышленники, и откуда взялся редирект на вредоносную страницу. Группа независимых специалистов и известный эксперт Кевин Бимонт (Kevin Beaumont) уже провели собственные расследования и пришли к аналогичным выводам. Судя по всему, Equifax пользуется услугами сторонней рекламной сети или провайдера аналитических услуг, которые и ответственны за появление вредоносных редиректов. Одним словом, все дело снова во вредоносной рекламе. Только вчера мы рассказывали о похожей кампании, в ходе которой преступники скомпрометировали PornHub.
Также читатели издания ArsTechnica заметили, что с сайта Equifax производится переадресация на скамерские станицы, где пользователю, к примеру, сообщают, что он выиграл iPhone X.
Исследователи и простые пользователи отмечают, что вредоносные редиректы, похоже, работают не постоянно. Так, вечером в среду сайт, казалось бы, возобновил нормальную работу, но потом подозрительное поведение возобновилось сегодня утром, после чего некоторые разделы сайты были заблокированы.
Представители Equifax подтвердили журналистам ArsTechnica, что им известно о происходящем, и сообщили, компания проводит расследование. Ради безопасности пользователей ссылки на помощь в вопросах кредитной истории пока были временно заблокированы. Что именно произошло с сайтом, сотрудники Equifax не сообщили, пообещав предоставить детали случившегося позже.
