تتهم هيئة الأوراق المالية والبورصة شركة SolarWinds CISO بتضليل المستثمرين قبل الهجوم الإلكتروني الروسي

اتهمت هيئة الأوراق المالية والبورصة الأمريكية شركة SolarWinds والمدير التنفيذي للأمن السيبراني تيموثي براون بالاحتيال وإخفاقات الرقابة الداخلية بزعم تضليل المستثمرين بشأن ممارسات الأمن السيبراني للشركة قبل الهجوم السيبراني الذي شنه قراصنة روس في عام 2019.

وفي بيان نُشر في وقت متأخر من يوم الاثنين، قالت هيئة الأوراق المالية والبورصات إن شركة SolarWinds “ضللت المستثمرين بالكشف عن المخاطر العامة والافتراضية فقط” في الوقت الذي علمت فيه شركة SolarWinds وBrown بوجود “أوجه قصور محددة” في ممارسات SolarWinds الأمنية والمخاطر المتزايدة التي كانت الشركة تواجهها. في الموعد.

واتهمت شكوى هيئة الأوراق المالية والبورصات الشركة بتقديم ادعاءات، بما في ذلك ما يتعلق بممارساتها الأمنية الخاصة، والتي كانت “تتعارض” مع تقييماتها الداخلية. في إحدى الحالات، قالت هيئة الأوراق المالية والبورصات إن براون، الذي يشغل حاليًا منصب كبير مسؤولي أمن المعلومات في شركة SolarWinds، قدم عروضًا تقديمية في السنوات التي سبقت الاختراق ذكرت أن الممارسات الأمنية للشركة كانت في “حالة ضعيفة للغاية”.

لكن الهيئة التنظيمية الفيدرالية قالت إن براون فشل في رفع المخاطر الأمنية على الشركة بشكل كافٍ أو حلها.

وقال جوربير إس جريوال، الذي يشرف على وحدة التنفيذ التابعة للجنة الأوراق المالية والبورصة، إن شركة SolarWinds وBrown “تجاهلتا الإشارات الحمراء المتكررة” و”انخرطتا في حملة لرسم صورة زائفة لبيئة الضوابط السيبرانية للشركة، وبالتالي حرمان المستثمرين من المعلومات المادية الدقيقة”.

“إن إجراء الإنفاذ الذي تم اتخاذه اليوم لا يقتصر على اتهام SolarWinds وBrown بتضليل الجمهور المستثمر والفشل في حماية أصول “جوهرة التاج” للشركة فحسب، بل يؤكد أيضًا على رسالتنا إلى جهات الإصدار: تنفيذ ضوابط قوية تتم معايرتها لبيئات المخاطر الخاصة بك والمستوى مع المستثمرين بشأن المخاوف المعروفة. قال جريوال.

تم اختراق SolarWinds منذ عام 2019 من قبل مجموعة من المتسللين الحكوميين المرتبطين بجهاز المخابرات الخارجية الروسي، الذين اقتحموا شبكة SolarWinds وزرعوا بابًا خلفيًا في كود منتج إدارة شبكة Orion الرائد للشركة. عندما تم تقديم برنامج Orion الملوث إلى عملاء SolarWinds كتحديث للبرنامج، تمكن المتسللون من الوصول إلى كل شبكة تقوم بتشغيل البرنامج المخترق، بما في ذلك الشركات الخاصة والوكالات الفيدرالية.

تم اكتشاف الاختراق بعد عام تقريبًا في عام 2020، حيث تم التأكد من اختراق العديد من الإدارات الحكومية الأمريكية، بما في ذلك وكالة ناسا والأمن الداخلي ووزارة العدل، بالإضافة إلى شركة الأمن العملاقة FireEye، والعديد من شركات التكنولوجيا والجامعات والمستشفيات.

أخبرت هيئة الأوراق المالية والبورصة شركة SolarWinds في نوفمبر 2022 أنها واجهت إجراءات إنفاذية في أعقاب الهجوم السيبراني، محذرة من أن إفصاحات الشركة عن الأمن السيبراني وبياناتها العامة تخضع للتدقيق.

في أعقاب الاختراق، تعرض كيفن طومسون، الرئيس التنفيذي السابق لشركة SolarWinds، للسخرية من قبل المشرعين الأمريكيين لإلقاء اللوم على أحد المتدربين لاستخدام كلمة المرور سيئة السمعة الآن، “solarwinds123″، على خادم ملفات SolarWinds لعدة سنوات حتى اكتشفها باحث أمني. قالت هيئة الأوراق المالية والبورصات في شكواها المقدمة إلى محكمة فيدرالية في نيويورك إن بساطة كلمة المرور هذه “لم تمتثل لمتطلبات تعقيد كلمة المرور المعلنة للشركة”، والتي تتعارض مع البيان الأمني ​​المنشور علنًا لشركة SolarWinds. قالت هيئة الأوراق المالية والبورصات إن “الأخطاء والإغفالات التي قدمتها شركة SolarWinds وBrown فيما يتعلق بقضايا كلمة المرور لم تكن خاطئة ومضللة فحسب، بل كانت كذلك من الناحية المادية”.

ورفض متحدث باسم SolarWinds التعليق على السجل. وفي تدوينة نُشرت بعد وقت قصير من إعلان هيئة الأوراق المالية والبورصة، اتهم الرئيس التنفيذي لشركة SolarWinds، سوداكار راماكريشنا، هيئة الأوراق المالية والبورصات بشن “إجراءات إنفاذ مضللة وغير مناسبة” ضد الشركة وأنها “سوف تعارض هذا الإجراء بشدة”.

وقال أليك كوتش، محامي براون، إنه يتطلع إلى الدفاع عن سمعة براون و”تصحيح الأخطاء في شكوى هيئة الأوراق المالية والبورصة”.