SolarWinds a été inculpé après que la SEC a déclaré que l’entreprise savait que son IT était vulnérable avant l’attaque SUNBURST

SolarWinds et son chef de la cybersécurité ont été accusés de fraude par le régulateur financier américain, qui affirme que le fabricant de logiciels savait que sa sécurité était dans un état lamentable avant l’attaque de la chaîne d’approvisionnement SUNBURST. Dans un communiqué de presse publié lundi, la SEC a affirmé que SolarWinds et le PDG Timothy G. Brown « ont trompé les investisseurs en surestimant les pratiques de cybersécurité de SolarWinds et en sous-évaluant ou en négligeant de divulguer les risques connus ». La plainte civile [PDF] affirme que, à partir de son introduction en bourse initiale d’octobre 2018 au moins jusqu’à l’annonce de l’attaque cybernétique SUNBURST de décembre 2020, les déclarations réglementaires de SolarWinds « auraient trompé les investisseurs en ne divulguant que des risques génériques et hypothétiques au moment où l’entreprise et Brown connaissaient des lacunes spécifiques dans les pratiques de cybersécurité de SolarWinds ainsi que les risques croissants auxquels l’entreprise faisait face en même temps ». L’annonce de la SEC cite une présentation d’entreprise de 2018 qui a été partagée en interne, y compris avec Brown, et qui a décrit la configuration de l’accès à distance de SolarWinds comme « pas très sécurisée ». Ce qui est quelque peu en dessous de la vérité, car la présentation a ensuite déclaré qu’un attaquant ayant accès au système d’accès à distance « peut faire ce qu’il veut sans que nous le détections jusqu’à ce qu’il soit trop tard ».