Бюро Equifax продает персональные данные

Бюро Equifax продает персональные данные

Бюро кредитных историй Equifax, при поддержке тысяч HR-департаментов по США, собрало, быть может, рекордную по полноте информации базу персданных американцев. База содержит 190 млн. записей с указанием должностей и уровнем заработной платы более чем 1/3 взрослого населения страны.

Часть информации из менее известной БД, созданной дочерней компанией Equifax под названием The Work Number, была продана коллекторским агентствам. Также некоторая сумма была перечислена финансовым компаниям и другим коммерческим организациям с целью возмещения накопившихся задолженностей.

«Я не вспомню более масштабного инцидента с вторжением в частную жизнь за последнее время, которое к тому же законно и хранится в строгой секретности, – говорит Роберт Матэр, владелец небольшой рекрутинговой компании Pre-Employ.com. –  Это как тайна ЦРУ».

Как Equifax получила доступ к столь закрытой информации? Секрет заключается в активном участии в процессе сбора данных тысяч американских компаний, многие из которых, к слову,  входят в рейтинг крупнейших мировых компаний Fortune Global 500. Наибольший вклад в создание самой полной на данный момент БД вносят государственные учреждения – они предоставляют информацию о 85% гражданского населения США, включая работников Министерства обороны. Кроме того, значительное количество данных поступает из школ, которые сотрудничают с дочкой Equifax  - The Work Number, пишет infowatch.ru.

Многие из компаний-источников конфиденциальной информации предоставляют Equifax прямой доступ к их базе данных, так что бюро кредитных историй имеет возможность отслеживать свежую информацию о сотрудниках той или иной компании практически в режиме онлайн. На самом же деле, эти организации платят Equifax за право предоставлять личную информацию своих сотрудников.

Equifax обрабатывает полученные данные и продает некоторые из них третьим лицам, в том числе, покрывая тем самым свои долги перед коллекторскими агентствами и другими коммерческим организациями.

Комментирует главный аналитик InfoWatch Николай Николаевич Федотов:: «С точки зрения злоумышленников, эта база обладает сомнительной ценностью. Слить её бесплатно (если вдруг представится возможность) мошенники не отказались бы. Но платить за неё невырожденные деньги вряд ли согласятся. В то же время, описанная база приносит немалую пользу в деле ведения кредитных историй и оценки рисков при кредитовании. Очевидная польза и неочевидный риск. Думаю, не стоит поднимать панику. Но, учитывая огромный размер базы, имеет смысл тщательно оценить риски и проверить режим защиты данных».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Две уязвимости в Node.js ставят под удар миллионы Windows-приложений

Кураторы проекта Node.js из OpenJS Foundation выпустили обновления с патчами в ветках 24.x, 22.x и 20.x. Апдейты устраняют проблемы, актуальные для приложений Windows и веб-сервисов, использующих JavaScript-движок V8.

По оценкам экспертов, затронуты миллионы серверных и полнофункциональных приложений. Уровень угрозы в обоих случаях определен как высокий.

Уязвимость CVE-2025-27210 представляет собой возможность обхода защиты от path traversal (выхода за пределы рабочего каталога), которая проявляется при использовании API-функции path.join() и возникла из-за неполного патча для CVE-2025-23084.

Ошибка в реализации функции path.normalize() позволяет получить несанкционированный доступ к файлам и папкам с помощью недопустимого имени — такого как CON, PRN, AUX (в Windows резервируются для системных устройств, к которым можно обратиться напрямую).

Уязвимость CVE-2025-27209 классифицируется как HashDoS — возможность вызвать отказ приложения (DoS) через создание множественных коллизий хешей. Проблема была привнесена с выпуском Node.js 24.0.0, который изменил алгоритм вычисления хешей строк.

Реализованная в движке V8 хеш-функция rapidhash ускорила процесс, но при этом также открыла дверь для атак HashDoS. Злоумышленник, контролирующий ввод строк для хеширования, может скормить в хеш-таблицу данные таким образом, чтобы все они попали в один слот.

В результате скорость поиска элементов и вставки новых коллизий упадет, а потребление памяти будет расти, что в итоге приведет к DoS. Знания зерна алгоритма для генерации хеш-коллизий в данном случае не потребуется.

Патчи для Node.js включены в состав сборок 20.19.4, 22.17.1 и 24.4.1. Организациям, использующим Windows-приложения на основе Node.js, рекомендуется приоритизировать обновление.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru