漏洞后果

一个没打补丁的漏洞后果Apache Struts漏洞，让Equifax赔了14亿美元，漏洞后果也把1.47亿人的漏洞后果社保号、驾照、漏洞后果信用卡信息全撂在了暗网上。漏洞后果这事发生在2017年，漏洞后果可直到今天，漏洞后果我翻看安全圈的漏洞后果事故报告，类似剧本还在反复上演——只不过主角换了名字。漏洞后果

漏洞本身不复杂。漏洞后果Struts那个远程代码执行漏洞，漏洞后果公开的漏洞后果利用代码早就挂在网上，谁都能下载。漏洞后果Equifax的漏洞后果安全团队呢？他们收到了内部警告，也扫到了问题，漏洞后果但修复流程卡在某个审批环节，拖了几个月。攻击者没客气，从漏洞入口进去，横向移动了78天，把数据库翻了个底朝天。78天，足够把一个人的一生扒干净。

后果不是“数据泄露”四个字能概括的。我认识一个在银行做风控的朋友，他跟我讲过一件事：2019年他们拦下一笔贷款申请，申请人是个六十多岁的老太太，住在中西部小镇，一辈子没出过州。可申请材料里，她的身份在三个州同时开了信用卡，还租了公寓。老太太根本不知道怎么回事。她的信息就是Equifax那批泄露数据里的。漏洞的后果，有时候是另一个毫不相干的人，突然发现自己“活”在了别处。

更麻烦的是连锁反应。Equifax自己股价暴跌，CEO辞职，董事会砍掉高管奖金。可真正掏钱的是谁？是那些小银行、信用社，它们得连夜换卡、加监控、雇人处理投诉。一家社区银行的IT主管跟我抱怨过，他们那年光换卡成本就吃掉全年利润的15%。漏洞是Equifax的，账单是大家分摊的。这种不对称，比漏洞本身更让人无力。

技术层面看，这个漏洞的利用门槛低到离谱。一个刚学会用Metasploit脚本小子，照着教程点几下，就能拿到服务器权限。我试过在隔离环境里复现，从扫描到拿shell，不到二十分钟。可防御呢？得打补丁、得做资产盘点、得监控异常流量、得隔离数据库。攻击只要找到一个缺口，防御得堵住所有。这种成本差，是漏洞后果被放大的根本原因。

还有一层后果藏在暗处。泄露的数据不会过期。社保号是一辈子的，信用卡可以换，但生日、母亲娘家姓、旧地址这些，改不了。五年后，十年后，这些数据还在黑市上流通，被拼凑、被撞库、被用来回答那些“找回密码”的安全问题。Equifax和解协议里给每人赔了125美元，可身份盗用的风险是持续的。我见过有人每隔半年就得去信用局冻一次档案，因为总有人拿他的信息去开账户。这种麻烦，125美元连付电话费都不够。

我写这些不是要吓唬谁。只是觉得，漏洞的后果从来不只是技术问题。它是一连串人的疏忽、流程的僵化、成本的算计，最后砸在某个具体的人头上。那个中西部老太太，她可能到现在都不知道Equifax是什么。但她得花几个月去证明“我不是我”。漏洞报告里冷冰冰的CVE编号，落到现实里，就是这种荒诞又真实的麻烦。

修复漏洞需要打补丁，可修复后果呢？没人知道补丁该往哪打。