La Comisión de Bolsa y Valores de Estados Unidos (SEC) acusó a cuatro empresas públicas actuales y anteriores por hacer «revelaciones materialmente engañosas» relacionadas con el ciberataque a gran escala que surgió de la truco de SolarWinds en 2020.
La SEC dijo que las empresas –Avaya, Check Point, mimecasty Unisys, están siendo penalizados por cómo manejaron el proceso de divulgación después del incidente de la cadena de suministro del software SolarWinds Orion y por restar importancia al alcance de la infracción, infringiendo así la Ley de Valores de 1933, la Ley de Bolsa de Valores de 1934 y leyes relacionadas. reglas bajo ellos.
Con ese fin, Avaya pagará una multa de 1 millón de dólares, Check Point pagará 995.000 dólares, Mimecast pagará 990.000 dólares y Unisys pagará 4 millones de dólares para resolver los cargos. Además, la SEC ha acusado a Unisys de violaciones de procedimientos y controles de divulgación.
«Si bien las empresas públicas pueden convertirse en blanco de ataques cibernéticos, les corresponde no victimizar aún más a sus accionistas u otros miembros del público inversor proporcionando revelaciones engañosas sobre los incidentes de ciberseguridad que han encontrado». dicho Sanjay Wadhwa, director interino de la División de Cumplimiento de la SEC.
«En este caso, las órdenes de la SEC determinan que estas empresas proporcionaron revelaciones engañosas sobre los incidentes en cuestión, dejando a los inversores en la ignorancia sobre el verdadero alcance de los incidentes».
Según la SEC, las cuatro empresas conocieron la Actores de amenazas rusos detrás del hack de SolarWinds Orion había accedido a sus sistemas de forma no autorizada, pero optó por minimizar el alcance del incidente en sus divulgaciones públicas.
Unisys, según la agencia federal independiente, optó por calificar los riesgos derivados de la intrusión como «hipotéticos», a pesar de ser consciente de que los acontecimientos de ciberseguridad provocaron la exfiltración de más de 33 GB de datos en dos ocasiones diferentes.
La investigación también encontró que Avaya afirmó que el actor de amenazas había accedido a un «número limitado» de mensajes de correo electrónico de la empresa, cuando, en realidad, sabía que los atacantes también habían accedido a al menos 145 archivos en su entorno de nube.
En cuanto a Check Point y Mimecast, la SEC se mostró en desacuerdo con la forma en que describieron los riesgos de la infracción a grandes rasgos, y este último tampoco reveló la naturaleza del código que el actor de la amenaza exfiltró y la cantidad de credenciales cifradas a las que accedió el actor de la amenaza. .
«En dos de estos casos, los factores de riesgo de ciberseguridad relevantes se enmarcaron de manera hipotética o genérica cuando las empresas sabían que los riesgos advertidos ya se habían materializado», dijo Jorge G. Tenreiro, jefe interino de la Unidad de Criptoactivos y Cibernética. «Las leyes federales de valores prohíben las verdades a medias y no hay excepción para las declaraciones en las divulgaciones de factores de riesgo».
