软件漏洞导致信息安全风险的案例

2017年，软件美国信用报告机构Equifax遭遇的漏洞例数据泄露，让1.47亿人的导致的案姓名、社保号码、信息出生日期和地址暴露在暗网上。安全事后调查发现，风险罪魁祸首是软件一个早已公布修复补丁的Apache Struts漏洞——一个存在于开源Web框架中的远程代码执行缺陷。Equifax的漏洞例IT部门有整整两个月的时间去安装补丁，但他们没有。导致的案就这么简单，信息一个没打的安全补丁，换来公司市值蒸发数十亿美元，风险三名高管因此引咎辞职。软件

这个案例里最扎心的漏洞例不是黑客技术有多高明，而是导致的案漏洞本身早就被公开了。Apache Struts的开发团队在2017年3月就发布了CVE-2017-5638的修复补丁，可Equifax的漏洞扫描系统居然没覆盖到这台服务器。他们的安全团队甚至收到了系统警告，但被当作误报处理了。你看，安全漏洞往往不是被“攻破”的，而是被“忽视”出来的。

类似的坑在2018年又出现了一次。英国航空公司遭遇数据泄露，约38万笔支付记录被盗。这次出问题的是第三方JavaScript代码——网站用来处理支付页面的一个脚本库被篡改了。黑客往里面塞了一段恶意代码，专门截取用户输入的信用卡信息。英航的安全检测系统其实已经发现了异常流量，但安全团队把警报级别设得太低，误以为是正常的爬虫访问。等到监管机构的GDPR罚单砸下来，4.83亿人民币的罚款直接让当年利润归零。

我见过太多公司把信息安全当成“买把锁”的事。买几台防火墙，装个杀毒软件，就觉得高枕无忧了。可真正的漏洞往往藏在流程里。比如某家医院的挂号系统，因为开发人员图省事，把数据库连接密码硬编码在源代码里，还顺手把代码上传到了公开的GitHub仓库。结果被一个学生无意间搜到，整个医院的病历资料成了他的“练手素材”。

软件漏洞的可怕之处在于，它不像物理世界那样看得见摸得着。你没法用眼睛检查代码里有没有后门，也没法用鼻子闻出服务器是不是被入侵了。这导致很多管理者对安全投入的产出比持怀疑态度——直到出事那天才追悔莫及。说句难听的，如果每个公司都像对待财务审计那样对待代码审计，这些悲剧至少能减少一半。

回到Equifax的教训，最讽刺的是他们事后聘请的安全顾问公司，恰恰是当年开发出那个有漏洞的Apache Struts框架的同一批社区成员。技术世界就是这么小圈子，你今天省下的安全维护成本，明天可能连本带利还给人家。那些还在纠结“安全预算该花多少”的决策者，不妨先算算自己公司的数据在黑市上值多少钱——如果算不出来，那说明你连自己有什么资产都没搞清楚，这本身就是最大的漏洞。