هيئة الأوراق المالية والبورصة تفرض غرامات على أربع شركات بقيمة 7 ملايين دولار بسبب “الإفصاحات السيبرانية المضللة” فيما يتعلق باختراق SolarWinds
أعلنت هيئة الأوراق المالية والبورصة (SEC) يوم الثلاثاء أنها اتهمت وفرضت عقوبات على أربع شركات لتقديم إفصاحات مضللة مرتبطة بخرق بيانات SolarWinds لعام 2019.
والشركات الأربع المتهمة هي شركات الأمن السيبراني Check Point، التي ستدفع غرامة مدنية قدرها 995 ألف دولار، وشركة Mimecast، التي ستدفع 990 ألف دولار؛ وشركات التكنولوجيا Unisys التي ستدفع 4 ملايين دولار، وAvaya التي ستدفع مليون دولار.
وكانت جميع هذه الشركات ضحية للاختراق الذي أصاب شركة SolarWinds، والذي أثر على العديد من الشركات والهيئات الحكومية الأخرى التي استخدمت برنامج SolarWinds. وفقًا لهيئة الأوراق المالية والبورصة، ارتكبت كل شركة انتهاكات مختلفة قللت “بالإهمال” من أهمية الانتهاكات وقللت من الضرر الناجم عنها.
وقال سانجاي وادوا، القائم بأعمال مدير قسم الأوراق المالية والبورصات في هيئة الأوراق المالية والبورصة: “في حين أن الشركات العامة قد تصبح أهدافًا للهجمات الإلكترونية، فإنه يتعين عليها عدم إيذاء مساهميها أو غيرهم من أفراد الجمهور المستثمر من خلال تقديم إفصاحات مضللة حول حوادث الأمن السيبراني التي واجهتها”. شعبة الإنفاذ. “هنا، وجدت أوامر هيئة الأوراق المالية والبورصة أن هذه الشركات قدمت إفصاحات مضللة حول الحوادث المعنية، مما ترك المستثمرين في الظلام بشأن النطاق الحقيقي للحوادث”.
وفقا لهيئة الأوراق المالية والبورصات، ارتكبت كل شركة انتهاكات مختلفة. وقالت أفايا إن المتسللين وصلوا إلى “عدد محدود” من رسائل البريد الإلكتروني الخاصة بالشركات، لكنها لم تذكر أن المتسللين وصلوا أيضًا إلى “ما لا يقل عن 145 ملفًا في بيئة مشاركة الملفات السحابية الخاصة بها”. على الرغم من معرفتها بالانتهاك، وصفت Check Point “التطفلات والمخاطر السيبرانية” بـ “مصطلحات عامة”. قامت Mimecast “بالحد من الهجوم من خلال عدم الكشف” عن الرمز وكمية بيانات الاعتماد المشفرة للشركة التي سرقها المتسللون. ووصفت شركة Unisys “مخاطرها الناجمة عن أحداث الأمن السيبراني بأنها افتراضية” على الرغم من تعرضها لانتهاكين متعلقين بـ SolarWinds.
وقالت هيئة الأوراق المالية والبورصات إن جميع الشركات تعاونت مع تحقيقاتها ووافقت على دفع الغرامات و”التوقف والكف عن الانتهاكات المستقبلية للأحكام المتهمة”، مع عدم “الاعتراف أو إنكار” نتائج لجنة الأوراق المالية والبورصة.
صرحت المتحدثة باسم Avaya، جوليان إمبري، لـ TechCrunch أن هيئة الأوراق المالية والبورصة “اعترفت بالتعاون الطوعي لشركة Avaya وأننا اتخذنا خطوات معينة لتعزيز ضوابط الأمن السيبراني للشركة”.
قال المتحدث باسم Check Point، جيل ميسينج، لموقع TechCrunch: “حققت Check Point في حادثة SolarWinds ولم تجد دليلاً على الوصول إلى أي بيانات أو أكواد برمجية أو معلومات حساسة أخرى للعميل. ومع ذلك، قررت Check Point أن التعاون وتسوية النزاع مع هيئة الأوراق المالية والبورصة كان في مصلحتها.
صرح المتحدث باسم Mimecast، تيموثي هاميلتون، لـ TechCrunch أن الشركة “قدمت إفصاحات واسعة النطاق وتفاعلت مع عملائنا وشركائنا بشكل استباقي وشفاف، حتى أولئك الذين لم يتأثروا”، ردًا على اختراق SolarWinds.
وقال هاميلتون: “اعتقدنا أننا امتثلنا لالتزاماتنا بالإفصاح بناءً على المتطلبات التنظيمية في ذلك الوقت”.
عندما اتصلت TechCrunch للتعليق، رفض المتحدث باسم Unisys Jamie Baid التعليق وأشار إلى ملف 8-K الخاص بالشركة والذي تم نشره يوم الثلاثاء. وفي الوثيقة، قالت Unisys إنها توصلت إلى تسوية مع هيئة الأوراق المالية والبورصة تحل تحقيق الهيئة التنظيمية في الشركة.
في السنوات القليلة الماضية، فرضت هيئة الأوراق المالية والبورصة سلسلة من الالتزامات الجديدة على الشركات المتداولة علنًا عندما يتعلق الأمر بالكشف عن خروقات البيانات وتأثيراتها على الشركة وعملائها ومستخدميها.
