Equifax Breach (Apache Struts・2017)（エクイファックスブリーチ）
2017年に発生した、Apache Strutsの脆弱性を突いた大規模な個人情報漏洩事件。米国の信用情報大手Equifaxから約1億4,500万人の機密情報が流出した。
概要
2017年に発生したこの事件は、サイバーセキュリティの歴史において「パッチ管理の失敗」がもたらす壊滅的な影響を象徴する事例である。米国3大信用情報会社の一つであるEquifaxに対し、JavaベースのWebフレームワーク「Apache Struts」に存在したリモートコード実行（RCE）の脆弱性（CVE-2017-5638）が悪用された。
特筆すべきは、脆弱性の修正パッチが公開されてから、攻撃者が侵入を完了し、数ヶ月間にわたって検算・検知できなかったというタイムラグである。これにより、社会保障番号（SSN）、生年月日、住所、運転免許番号といった、変更不可能な個人情報が約1億4,500万人分もの規模で流出した。この事態は単なる技術的ミスに留まらず、経営陣の退任、巨額の制裁金支払い、そして企業の時価総額を数千億円単位で消失させるという、ビジネス継続性における致命的なリスクを浮き彫りにした。
事件の構成要素と影響度
| 項目 | 詳細内容 |
|---|---|
| 脆弱性識別子 | CVE-2017-5638 (Apache Struts RCE) |
| 攻撃手法 | 不正なContent-Typeヘッダーによるリモートコード実行 |
| 被害規模 | 約1億4,500万人の個人情報（SSN、生なる生年月日等） |
| 経済的損失 | 7億ドル超の和解金、株価の大幅下落 |
| 組織的影響 | CEO/CIO/CSOの引責辞任、上院公聴会への出席 |
| 主要な教訓 | パッチ適用プロセスの欠如と脆弱性スキャンの不備 |
脆弱性管理アプローチの比較
現代のセキュリティ基準（2025年以降のDevSecOps）に基づき、当時の対応と現在の標準的な対応を比較する。
| 管理手法 | Equifax型 (Reactive) | 現代の標準 (Proactive/Continuous) |
|---|---|---|
| 検知サイクル | パッチ公開後の手動確認・適用待ち | CI/CDパイプラインへの自動スキャン組み込み |
| 可視性 | 利用しているライブラリの把握が不十分 | SBOM（ソフトウェア部品構成表）による完全な可視化 |
| 修正優先度 | 重要度に応じた場当たり的な対応 | リスクベースの脆弱性管理 (RBVM) |
| 境界防御 | 侵入後の検知に依存 | ゼロトラスト・アーキテクチャによる横展開防止 |
関連用語との違い
CVE (Common Vulnerabilities and Exposures)
CVEは脆弱性に割り当てられた識別番号であり、今回の事件における「CVE-2017-5638」はその具体的な攻撃対象となった欠陥を指す。事件そのものは「Breach（侵害）」であり、CVEはその原因となった「穴」である。
RCE (Remote Code Execution)
RCEは、ネットワーク経由で攻撃者が標的のシステム上で任意のコマンドを実行できる状態を指す。今回のStrutsの脆弱性は、このRCEを許容したため、サーバー内部への侵入とデータ窃取が容易となった。
Supply Chain Attack (サプライチェーン攻撃)
直接的な自社開発コードの不備ではなく、利用している外部ライブラリ（Apache Struts）の脆弱性を突く点は、現代で主流となっているサプライチェーン攻撃の先駆け的な性質を持っている。2025年現在のSBOM管理の重要性に直結する概念である。
FAQ
Q1: なぜパッチが存在したにもかかわらず被害を防げなかったのか？
A: 組織内に「パッチ適用プロセス」と「資産管理（どのサーバーにどのライブラリがあるか）」が確立されていなかったことが最大の要因です。脆弱性が公開されても、自社のシステム内のどこにそのライブラリが存在するかを即座に特定できず、修正が大幅に遅延しました。
Q2: この事件は現代のセキュリティ運用にどのような影響を与えたか？
A: 脆弱性管理（Vulnerability Management）が単なる「IT部門のタスク」から「経営リスク」へと昇格しました。また、ソフトウェアの構成要素を透明化するSBOM（Software Bill of Materials）の重要性が、2025年現在のサプライチェーンセキュリティにおいて再認識されるきっかけとなりました。
Q3: 現代のゼロトラスト環境では同様の攻撃は防げるのか？
A: RCE自体を防ぐことは困難ですが、侵入後の「横展開（Lateral Movement）」を制限することは可能です。マイクロセグメンテーションや厳格な権限管理（Least Privilege）を導入していれば、Webサーバーが乗っ取られても、データベースへの不正アクセスを最小限に食い止めることが期待できます。