SolarWinds a été inculpé après que la SEC a déclaré que l’entreprise savait que son IT était vulnérable avant l’attaque SUNBURST

SolarWinds et son directeur de la cybersécurité ont été accusés de fraude par le régulateur financier américain, qui affirme que le fabricant de logiciels savait que sa sécurité était dans un mauvais état avant l’attaque SUNBURST de la chaîne d’approvisionnement. Dans une annonce du lundi, la SEC a affirmé que SolarWinds et le CISO Timothy G. Brown avaient «fraudé les investisseurs en surestimant les pratiques de cybersécurité de SolarWinds et en sous-estimant ou en ne divulguant pas les risques connus». La plainte civile [PDF] affirme que, à partir de son offre publique initiale d’octobre 2018 au moins jusqu’à l’annonce de l’attaque SUNBURST de décembre 2020, les déclarations de conformité de SolarWinds ont «supposément trompé les investisseurs en ne divulguant que des risques génériques et hypothétiques à un moment où la société et Brown connaissaient déjà les déficiences spécifiques des pratiques de cybersécurité de SolarWinds ainsi que les risques croissants auxquels la société faisait face en même temps». L’annonce de la SEC cite une présentation d’entreprise de 2018 qui a été partagée en interne, y compris avec Brown, et qui a décrit la configuration d’accès à distance de SolarWinds comme «pas très sécurisée». Ce qui est assez en dessous de la vérité, car la présentation a ensuite déclaré qu’un attaquant ayant accès au système d’accès à distance «peut essentiellement faire ce qu’il veut sans que nous ne le détections jusqu’à ce qu’il soit trop tard».