美国Equifax 2017年1.47亿人数据泄露事件兼高管内幕交易被全球重罚案

【案件背景】
2017年9月，美国三大信用报告机构之一Equifax披露，其在2017年5月中旬至7月期间遭受了大规模数据泄露，攻击者利用Apache Struts框架的已知漏洞（CVE-2017-5638）入侵系统，窃取了约1.47亿美国消费者（约占美国成年人口的56%）的敏感个人信息，包括姓名、社会安全号码（SSN）、出生日期、地址以及部分驾驶执照号码和信用卡号。该事件被认为是历史上最严重的数据泄露事件之一。

【违法事实】
美国联邦贸易委员会（FTC）、消费者金融保护局（CFPB）和50个州检察长联合调查认定：一是已知漏洞未及时修补——Apache Struts的CVE-2017-5638漏洞于2017年3月被公开披露并发布了补丁，Equifax的安全团队也于3月8日收到了要求72小时内修补的内部告警，但该公司未能在全系统范围内完成补丁部署，导致攻击者于5月利用未修补的系统入侵；二是安全证书过期导致入侵检测失效——Equifax的一个网络流量检查设备的数字证书过期19个月未续期，导致该设备无法检测到攻击者通过加密通道外传数据的行为，这等于关掉了防盗警报却从未检查它是否还在工作；三是事件被发现后延迟6周才对外披露——Equifax于2017年7月29日发现入侵，但直至9月7日才公开披露，在此期间多位高管出售了价值约180万美元的公司股票，涉嫌内幕交易；四是事件发生后建立的消费者响应网站频频崩溃、呼叫中心资源不足、误导消费者放弃起诉权利的条款被纳入信用监控服务协议中。

【处罚决定】
2019年7月，Equifax与FTC、CFPB、50个州检察长达成史上最大规模的数据泄露和解协议：全球和解金额高达7亿美元（后增至约15亿美元），包括设立3.8亿美元的消费者赔偿基金、向各州支付1.75亿美元罚款、向CFPB支付1亿美元罚款等。前CIO因内幕交易被判处4个月联邦监禁。Equifax被要求实施全面的信息安全整改计划并由第三方进行定期审计。

【典型意义】
Equifax案是数据安全事件响应领域最具教科书价值的全球案例。一是补丁管理是安全事件预防的第一道防线——已知漏洞+已知补丁+已知风险的三重明知而未行，是严重的过失；二是安全监控设备的'僵尸化'是最隐蔽的危险——部署了安全设备不等于拥有了安全能力，持续的有效性验证同样关键；三是数据泄露+高管内幕交易叠加构成刑事犯罪——本案是极少数数据安全事件引发刑事追责的案例之一；四是事件后的消费者应对服务（如信用监控）本身不能豁免法律责任——提供信用监控不能替代通知义务，更不能附加不公平的放弃权利条款。