Equifax Breach 2017: 147 Juta Data Pribadi Bocor Lewat Apache Struts

Konteks Operasional

Equifax sebagai credit reporting agency menyimpan data sensitif 147 juta konsumen AS. Infrastructure mereka bergantung pada Apache Struts untuk aplikasi web dispute resolution portal. Vulnerability management team gagal memprioritaskan patch CVE-2017-5638 yang sudah tersedia 76 hari sebelum breach terjadi. Situasi diperparah dengan:

• Network segmentation yang lemah antara web-facing systems dan internal databases
• Pemantauan traffic outbound yang tidak memadai untuk volume data besar
• Ketiadaan behavioral detection untuk akses tidak wajar ke PII repositories

Vektor Awal & Lateral Movement

Attack chain dimulai dengan:

• Exploit RCE pada unpatched Struts instance melalui Content-Type header manipulation
• Dropping web shell (JSP-based) pada server dispute portal
• Credential harvesting melalui memory scraping tools (Mimikatz variant)
• Lateral movement ke 51 sistem lain menggunakan domain admin credentials

Critical failure: tidak ada alert untuk mass data exfiltration dari database ke external IP selama 76 hari.

Pivot Yang Sering Diabaikan Defender

Operational blind spot utama:

• Asumsi bahwa dispute portal (non-core system) tidak kritis. Faktanya menjadi pivot point ke main credit databases
• Missing baseline untuk normal query patterns terhadap PII storage. 147 juta records diambil via serial small-batch queries
• SSL inspection tidak diimplementasikan, membuat exfiltrated data tidak terdekripsi untuk inspection

Pelajaran untuk Tim Indonesia

• Patch critical RCE dalam 72 jam khususnya untuk internet-facing systems (SLA wajib kontrakual)
• Segmentasi ekstrim antara web apps dan data warehouses, termasuk micro-perimeter controls
• Behavioral analytics untuk deteksi unusual database access patterns (volume, timing, origin)
• Encrypted traffic analysis wajib untuk egress points walau tanpa SSL decryption

Indikator Detection Yang Bisa Dipasang Besok

• Struts exploit attempt: Regex match pada HTTP headers mengandung #cmd= atau Content-Type abnormal
• Credential dumping artifacts: Process creation event untuk lsass.exe access dari non-admin tools
• PII access pattern: Database queries returning >500 SSN/dob/credit scores per session
• Data staging: Files dengan prefix tmp_ berisi structured data di web server directories