Equifax đã thông báo tới khách hàng về việc tin tặc truy cập vào các hệ thống của hãng từ giữa tháng 5/2017 đến cuối tháng 7/2017. Vụ xâm nhập gây lộ lọt thông tin của 143 triệu người tiêu dùng Mỹ, bao gồm: tên, số an sinh xã hội, ngày sinh, địa chỉ và một số trường hợp có cả giấy phép lái xe.
Số thẻ tín dụng của khoảng 209.000 người tiêu dùng tại Mỹ và tài liệu tranh chấp của 182.000 người có thể đã bị tin tặc lấy cắp. Các cá nhân ở nước Anh và Canada cũng bị ảnh hưởng trong vụ việc.
Equifax ban đầu chỉ tiết lộ rằng, tin tặc đã khai thác một lỗ hổng trong ứng dụng website để truy cập các tập tin. Tuy nhiên, công ty dịch vụ tài chính Baird sau đó tuyên bố ứng dụng được đề cập là Apache Struts - framework được nhiều tổ chức hàng đầu sử dụng để tạo các ứng dụng web.
Mặc dù lỗ hổng Apache Struts (CVE-2017-9805) gần đây đã được vá, nhưng việc tin tặc khai thác lỗ hổng này để phát tán mã độc vẫn xảy ra. Một lỗ hổng khác là CVE-2017-5638 đã được công bố và đã được vá vào tháng 3 cũng bị tin tặc khai thác sau đó.
Equifax đã đưa ra bản cập nhật vào ngày 12/9/2017 trên trang web của hãng và xác nhận rằng, CVE-2017-5638 là lỗ hổng Apache Struts 2 bị tin tặc khai thác.
Đại diện Equifax cho biết, công ty đã cung cấp thông tin cho cơ quan luật pháp để điều tra thêm.
Điều này cho thấy, vụ việc xâm nhập có thể bắt nguồn từ việc không cập nhật bản vá lỗ hổng của Equifax. Do đó, nhiều người bắt đầu chú ý hơn tới các vấn đề an ninh Equifax, bao gồm các lỗ hổng XSS (cross-site scripting) chưa được hãng vá, cùng sự thiếu hụt nhiều biện pháp bảo vệ cơ bản.
