SolarWinds a été inculpé après que la SEC a déclaré que l’entreprise savait que son IT était perméable avant l’attaque SUNBURST.

SolarWinds et son chef de la sécurité de l’information ont été accusés de fraude par le régulateur financier américain, qui affirme que le fabricant de logiciels savait que sa sécurité était dans un mauvais état avant l’attaque de la chaîne d’approvisionnement SUNBURST. Dans une annonce lundi, la SEC a affirmé que SolarWinds et le CISO Timothy G. Brown « ont trompé les investisseurs en surestimant les pratiques de cybersécurité de SolarWinds et en sous-évaluant ou en négligeant de divulguer les risques connus ». La plainte civile [PDF] allègue que, à partir de son offre publique initiale d’octobre 2018 au moins jusqu’à son annonce de l’attaque de SUNBURST en décembre 2020, les déclarations réglementaires de SolarWinds « auraient trompé les investisseurs en ne divulguant que des risques génériques et hypothétiques au moment où l’entreprise et Brown connaissaient des lacunes spécifiques dans les pratiques de cybersécurité de SolarWinds ainsi que les risques croissants auxquels l’entreprise faisait face en même temps ». L’annonce de la SEC cite une présentation d’entreprise de 2018 qui a été partagée en interne, y compris avec Brown, et qui a décrit la configuration d’accès à distance de SolarWinds comme « pas très sécurisée ». Ce qui est quelque chose de sous-estimé, car la présentation a ensuite déclaré qu’un attaquant ayant accès au système d’accès à distance « peut pratiquement faire ce qu’il veut sans que nous ne le détections jusqu’à ce qu’il soit trop tard ».