Como a empresa que guardava os dados de 820 milhões de pessoas não viu o próprio vazamento por 76 dias

A narrativa simplificada que dominou os holofotes nos meses seguintes ao desastre apontou um culpado claro: uma falha técnica, um simples "patch de segurança não aplicado". Essa explicação foi fácil, rápida e suficiente para a manchete. No entanto, se mergulharmos nos registros oficiais da Equifax, o quadro é muito mais complexo e profundamente humano. O que aconteceu não foi apenas um buraco na linha de código; foi uma cadeia meticulosa de omissões gerenciais: um portal legado dos anos 1970 rodando em software vulnerável sem correção, um certificado de monitoramento crucial vencido há quase dois anos e um simples e-mail que nunca foi repassado.

O império da informação

Fundada em Atlanta em 1899 e aberta ao público em 1965, a Equifax construiu seu nome sobre o crédito e a informação financeira americana. Foi sob a liderança de Richard Smith, que assumiu como CEO em dezembro de 2005, que a ambição da empresa atingiu níveis estratosféricos. O crescimento veio por meio de aquisições agressivas: TALX em 2007 por US$ 1,4 bilhão, trazendo mais de 142 milhões de registros de emprego; TDX Group em 2014 por US$ 327 milhões; Veda Group em 2016 por US$ 1,9 bilhão. De uma ação cotada a cerca de US$ 38 em dezembro de 2005, subiu para aproximadamente US$ 138 no início de setembro de 2017. A Equifax mantinha registros de crédito de 820 milhões de consumidores e 91 milhões de empresas em mais de 24 países. Em agosto de 2017, três semanas antes do caos, Smith discursou na Universidade da Geórgia: "temos dados de quase um bilhão de pessoas" e "cerca de US$ 20 trilhões de dados de patrimônio". A ambição virara complexidade descontrolada.

A vulnerabilidade silenciosa

O primeiro alarme soou em 7 de março de 2017, com o anúncio da vulnerabilidade crítica CVE-2017-5638 no Apache Struts. O Departamento de Segurança Interna (DHS) alertou a Equifax no dia seguinte. A equipe de segurança disparou um e-mail para mais de 400 funcionários, exigindo o patch em 48 horas. Mas o ACIS (Automated Consumer Interview System), um portal de disputas de crédito dos anos 1970, rodava uma versão vulnerável do Struts e nunca foi corrigido. O ataque começou em 13 de maio de 2017. Durante sete semanas e seis dias, os atacantes operaram dentro da muralha corporativa: deixaram web shells, encontraram um arquivo com credenciais não criptografadas e vasculharam 48 bancos de dados desconexos. A Equifax permaneceu cega porque o dispositivo de monitoramento de tráfego do ACIS estava inativo havia 19 meses, o certificado de segurança tinha vencido. Mais de 300 certificados importantes haviam expirado, incluindo 79 de monitoramento em domínios críticos.

O colapso e o fator humano

Em 29 de julho de 2017, a Equifax finalmente renovou o certificado e notou tráfego suspeito saindo do ACIS para um IP na China. O CIO David Webb comunicou o CEO em 31 de julho. A investigação começou em 2 de agosto com Mandiant e FBI. Em 4 de setembro, os números confirmaram o pior: quase 143 milhões de pessoas afetadas, subindo para 148 milhões. O anúncio público em 7 de setembro fez a ação despencar 13,2%. Em 15 de setembro, o CIO e uma executiva sênior se aposentaram; em 26 de setembro, Smith saiu sem bônus. Em 2 de outubro, a empresa demitiu um vice-presidente sênior que chefiava quase 400 pessoas simplesmente por não ter repassado o e-mail sobre a vulnerabilidade. Smith testemunhou no Congresso culpando "erro humano" e falta de comunicação. Jun Ying, CIO de uma unidade americana, soube do vazamento em agosto, pesquisou o impacto financeiro e exerceu todas as suas opções de ações, embolsando quase US$ 1 milhão, e foi acusado criminalmente por insider trading.

O preço da inação

Em julho de 2019, a Equifax fechou um acordo global com FTC, CFPB e 50 estados: mínimo de US$ 575 milhões, podendo chegar a US$ 700 milhões. Até maio de 2019, a empresa já contabilizava US$ 1,4 bilhão em custos diretos, sem contar honorários legais. O valor de mercado caiu de US$ 17,02 bilhões na véspera do anúncio para US$ 11,72 bilhões em outubro de 2018. Um relatório da Câmara dos EUA em dezembro de 2018 foi categórico: o vazamento foi "totalmente evitável", causado pela falta de responsabilização clara na área de TI.

O que aprendemos com dados e falhas

Dado sem governança é passivo tóxico. Acumular informação sem rastrear quem acessa ou quem protege não constrói valor, apenas risco.

Inventário e patch são gestão de dados, não burocracia. Deixar um portal dos anos 1970 rodando software vulnerável com centenas de certificados expirados é falha catastrófica de inventário.

O monitoramento que não monitora não existe. Um certificado vencido por quase dois anos significa cegueira durante 76 dias críticos.

A cadeia de comunicação é parte da segurança. O custo bilionário começou com um e-mail que nunca foi repassado. Silêncio também é falha técnica.

No fim das contas, a Equifax tratava dados como suporte administrativo, não como o ativo vital que eram. A empresa que vigiava o crédito de 820 milhões de pessoas aprendeu da pior forma que o dado mais valioso é aquele que você nem sabe que está vazando.

Fontes

• Equifax (SEC Form 8-K, 07/09/2017): Cybersecurity Incident
• U.S. House Committee on Oversight (dez/2018): Equifax: A Failure of Corporate Governance
• FTC (22/07/2019): Equifax to Pay $575 Million as Part of Settlement
• SEC Litigation Release (22/03/2018): Former Equifax Executive Charged with Insider Trading
• CNBC (08/09/2017): Equifax plunges as breach will cost company hundreds of millions
• CNBC (26/09/2017): Equifax CEO suddenly ‘retires’
• The Verge (29/06/2019): Former Equifax executive sentenced to prison for insider trading
• WABE (10/05/2019): Equifax Says Cybersecurity Breach Has Cost $1.4 Billion

Publiquei este texto primeiro no LinkedIn, na newsletter Dados e Fatos.