Η Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) κατηγορεί τέσσερις εταιρείες— Unisys Corp., Avaya Holdings Corp., Check Point Software Technologies Ltd και Mimecast Limited — για φερόμενη παραπλάνηση των επενδυτών σχετικά με τον αντίκτυπο των παραβιάσεών τους μετά το hack SolarWinds το 2020.
Οι εταιρείες φαίνεται να συμφώνησαν να πληρώσουν αστικές ποινές για να διευθετήσουν τις κατηγορίες της SEC. Η Unisys θα πληρώσει 4 εκατομμύρια δολάρια, η Avaya θα πληρώσει 1 εκατομμύριο δολάρια, η Check Point 995.000 δολάρια και η Mimecast 990.000 δολάρια.
Δείτε επίσης: CISA: Νέα security requirements για προστασία προσωπικών και κυβερνητικών δεδομένων
Σύμφωνα με τη SEC, τα πρόστιμα επιβλήθηκαν επειδή και οι τέσσερις εταιρείες υποβάθμισαν τις παραβιάσεις που υπέστησαν, κατά την επίθεση στην αλυσίδα εφοδιασμού της SolarWinds, αφήνοντας τους επενδυτές στο σκοτάδι.
«Σύμφωνα με τις εντολές της SEC, η Unisys, η Avaya και η Check Point έμαθαν το 2020 και η Mimecast το 2021, ότι ο παράγοντας απειλής πίσω από το hack του SolarWinds Orion είχε πρόσβαση στα συστήματά τους. Ωστόσο, και οι τέσσερις εταιρείες υποβάθμισαν τον αντίκτυπο του περιστατικού ασφαλείας στις δημόσιες αποκαλύψεις», συνεχίζει η ανακοίνωση της Επιτροπής Κεφαλαιαγοράς.
«Σχετικά με τη Unisys, η SEC διαπίστωσε ότι η εταιρεία περιέγραψε τους κινδύνους ως υποθετικούς, παρά το γεγονός ότι γνώριζε ότι είχε υποστεί δύο εισβολές που σχετίζονταν με το hack της SolarWinds. Υπήρξε και παραβίαση δεδομένων».
Από την άλλη μεριά, η Avaya ισχυρίστηκε ότι οι επιτιθέμενοι είχαν πρόσβαση μόνο σε περιορισμένο αριθμό email, ενώ γνώριζε ότι υπήρξε επίσης πρόσβαση σε τουλάχιστον 145 αρχεία στο cloud storage περιβάλλον της.
Η έρευνα για την Check Point διαπίστωσε ότι η εταιρεία γνώριζε ότι είχε παραβιαστεί, αλλά υποβάθμισε τον αντίκτυπο χρησιμοποιώντας “γενικούς όρους”.
Δείτε επίσης: Το FBI συνέλαβε άνδρα ως ύποπτο για το χακάρισμα του X account της SEC
Τέλος, η Mimecast υποβάθμισε τη σημασία της επίθεσης, με το να μην αποκαλύψει τη φύση του κώδικα που είχε κλαπεί και τον αριθμό των κρυπτογραφημένων credentials στα οποία είχε πρόσβαση ο επιτιθέμενος κατά τη διάρκεια της παραβίασης.
Το 2019, η SolarWinds παραβιάστηκε από τη ρωσική κρατική ομάδα APT29, μέρος της Ρωσικής Υπηρεσίας Εξωτερικών Πληροφοριών (SVR). Οι hackers μόλυναν την πλατφόρμα διαχείρισης IT SolarWinds Orion και τις επακόλουθες ενημερώσεις που κυκλοφόρησαν μεταξύ Μαρτίου 2020 και Ιουνίου 2020.
Αυτές οι κακόβουλες ενημερώσεις μεταφέρθηκαν στους πελάτες της SolarWinds για να τους μολύνουν με κακόβουλο λογισμικό, συμπεριλαμβανομένου του Sunburst backdoor. Ωστόσο, οι επιτιθέμενοι επέλεξαν έναν σημαντικά μικρότερο αριθμό στόχων για εκμετάλλευση σε δεύτερο στάδιο.
Πολλές εταιρείες και κυβερνητικές υπηρεσίες των ΗΠΑ επιβεβαίωσαν αργότερα ότι επηρεάστηκαν από την παραβίαση (π.χ. Microsoft, FireEye, Υπουργείο Εξωτερικών, Υπουργείο Εσωτερικής Ασφάλειας (DHS), Υπουργείο Οικονομικών, Υπουργείο Ενέργειας (DOE), Εθνικά Ινστιτούτα Υγείας (NIH) και Εθνική Διοίκηση Πυρηνικής Ασφάλειας).
Δείτε επίσης: Γιατί τόσες επενδύσεις σε εταιρείες cybersecurity στην Ελλάδα;
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι κατηγορίες εναντίον των τεσσάρων εταιρειών και τα πρόστιμα υπογραμμίζουν τη σημασία της διαφάνειας και της ακριβούς αναφοράς περιστατικών κυβερνοασφάλειας. Λειτουργούν ως υπενθύμιση για τις εταιρείες, σχετικά με την ανάγκη διατήρησης ισχυρής επικοινωνίας με τους ενδιαφερόμενους κατά τη διάρκεια τέτοιων κρίσεων. Οι επενδυτές θα πρέπει να είναι πλήρως ενημερωμένοι για τους κινδύνους και τις επιπτώσεις που σχετίζονται με παραβιάσεις της ασφάλειας στον κυβερνοχώρο.
Αυτή η υπόθεση υπογραμμίζει, επίσης, την αυξανόμενη έμφαση στη ρυθμιστική εποπτεία σε θέματα κυβερνοασφάλειας, καθώς οι εταιρείες αντιμετωπίζουν αυξανόμενη πίεση όχι μόνο να προστατεύουν τα δεδομένα τους αλλά και να αποκαλύπτουν και να αντιμετωπίζουν αποτελεσματικά πιθανές ευπάθειες και παραβιάσεις.
Πηγή: www.bleepingcomputer.com
