SolarWinds a été inculpé après que la SEC a déclaré que l’entreprise savait que son IT était perméable avant l’attaque SUNBURST.

SolarWinds et son directeur des technologies de l’information ont été accusés de fraude par le régulateur financier américain, qui affirme que le fabricant de logiciels savait que sa sécurité était dans un mauvais état avant l’attaque par SUNBURST de la chaîne d’approvisionnement. Dans une annonce de lundi, la SEC a affirmé que SolarWinds et le CISO Timothy G. Brown avaient «fraudé les investisseurs en surestimant les pratiques de cybersécurité de SolarWinds et en minimisant ou en ne divulguant pas les risques connus». La plainte civile [PDF] affirme que, à partir de son offre public initiale d’octobre 2018 au moins jusqu’à son annonce de l’attaque cybernétique SUNBURST de décembre 2020, les déclarations réglementaires de SolarWinds «ont trompé les investisseurs en ne divulguant que des risques génériques et hypothétiques au moment où la société et Brown connaissaient les déficiences spécifiques dans les pratiques de cybersécurité de SolarWinds ainsi que les risques croissants et élevés auxquels la société faisait face en même temps». L’annonce de la SEC cite une présentation d’entreprise de 2018 qui a été partagée en interne, y compris avec Brown, et qui décrivait la configuration d’accès à distance de SolarWinds comme «pas très sécurisée». Ce qui est quelque peu en dessous de la vérité, car la présentation a ensuite déclaré qu’un attaquant ayant accès au système d’accès à distance «peut fondamentalement faire ce qu’il veut sans que nous le détections jusqu’à ce qu’il soit trop tard».