Menkul Kıymetler ve Borsa Komisyonu, şirketin Orion yazılım platformuna yönelik 2020 siber saldırısıyla ilgili olası yaptırım eylemleri hakkında SolarWinds’in finans müdürü ve CISO’sunu bilgilendirdi. ajansla düzenleyici bir dosyalamada.
SolarWinds CFO’su J. Barton Kalsu ve CISO Tim Brown her biri SEC’den Wells Bildirimi olarak bilinen ve kendilerini şirketin saldırıya tepkisine ilişkin önceden duyurulan bir soruşturmadan kaynaklanan olası sivil yaptırım eylemleri konusunda uyaran resmi bildirimi aldı.
Kasım 2022’de SolarWinds açıklandı bir Wells Bildirimi almıştı siber saldırı ile bağlantılı olarak. Soruşturma, siber güvenlik ifşaları ve kamuoyu açıklamalarıyla ilgili menkul kıymetler yasalarının olası ihlalleriyle ilgili.
SEC ayrıca şirketin iç kontrollerinin yanı sıra açıklama kontrolleri ve prosedürlerini de inceliyordu.
adlı Rusya destekli bir tehdit aktörüne atfedilen kampanya Soylu, Orion platformuna kötü amaçlı yazılımın yüklendiği ve yazılımı kullanan özel sektör şirketlerine ve devlet kurumlarına bulaştığı bir tedarik zinciri saldırısını içeriyordu. SolarWinds, aynı kampanya sırasında saldırıya uğrayan diğer birçok şirket arasında en yüksek profilli kurban oldu.
SolarWinds CEO’su Sudhakar Ramakrishna Cuma günü çalışanlara yazdığı bir mektupta şirketin eylemlerini savundu.
Mektupta, “SEC ile işbirliği yapmak ve bilgilendirmek için olağanüstü önlemlerimize rağmen, gerçeklerle örtüşmediğine inandığımız pozisyonlar almaya devam ediyorlar” diye yazdı. “Bu tür bir eylemin şirkete veya herhangi bir çalışana karşı haklı olduğuna katılmıyoruz ve SEC herhangi bir nihai karar vermeden önce bu konunun olası bir çözümünü araştırmaya devam edeceğiz.”
Mektup, SEC herhangi bir yasal başvuru başlatmaya karar verirse şirketin kendisini savunmayı planladığını belirtiyor.
Dosyaya göre, yöneticilere karşı olası SEC önlemleri arasında gelecekte aynı eylemlerde bulunmalarının engellenmesi, hukuki cezalar verilmesi veya kamu şirketlerinde memur veya yönetici olarak görev yapmalarının engellenmesi yer alıyor.
Bir şirket sözcüsü Cybersecurity Dive’a e-postayla yaptığı açıklamada, “Güneş patlaması, ABD hükümetinin küresel bir süper güç tarafından siber güvenlik uzmanlarının daha önce hiç görmediği yeni bir tehdit türünde yeni teknikler kullanarak gerçekleştirildiğini söylediği son derece karmaşık ve öngörülemez bir saldırıydı” dedi. ifade. “SolarWinds, hem siber kontroller hem de ifşa için köklü en iyi uygulamaları takip ederek her zaman doğru şekilde hareket etmiştir.”
Şirket, “SEC tarafından şirketimiz ve memurlarımız aleyhine suçlamalara doğru ilerliyor gibi görünen uzun bir soruşturma sürecinde” işbirliği yaptığını söyledi.
Bir sözcü, potansiyel yaptırım eyleminin “siber olay ifşası üzerinde caydırıcı bir etki yaratarak” sektörü daha az güvenli hale getireceğini söyledi.
SEC sözcüsü, ajansın “olası bir soruşturmanın varlığı veya yokluğu hakkında yorum yapmadığını” söyledi.
SEC, son yıllarda siber güvenlikle ilgili şeffaflığı ve yönetişimi artırmak için çok sayıda adım attı. Mart ayında SEC, 2020 fidye yazılımı saldırısıyla ilgili ifşalarla bağlantılı olarak Blackbaud ile 3 milyon dolarlık bir anlaşmaya vardı.
Ajans, bu ayın başlarında halka açık şirketler için siber olay ifşa gerekliliklerine ilişkin nihai bir kuralı erteledi.