SolarWinds a été inculpé après que la SEC a déclaré que l’entreprise savait que son réseau était vulnérable avant l’attaque SUN

SolarWinds et son directeur de la sécurité de l’information ont été accusés de fraude par le régulateur financier américain, qui affirme que le fabricant de logiciels savait que sa sécurité était dans un mauvais état avant l’attaque de la chaîne d’approvisionnement SUNBURST. Dans une annonce publiée lundi, la SEC a affirmé que SolarWinds et le directeur de la sécurité des informations Timothy G. Brown avaient « trompé les investisseurs en surestimant les pratiques de cybersécurité de SolarWinds et en sous-estimant ou en omettant de divulguer les risques connus ». La plainte civile [PDF] affirme que, à partir de son offre publique initiale d’octobre 2018 au moins jusqu’à son annonce de l’attaque cybernétique SUNBURST en décembre 2020, les déclarations réglementaires de SolarWinds ont « prétendument trompé les investisseurs en ne divulguant que des risques génériques et hypothétiques au moment où la société et Brown connaissaient des lacunes spécifiques dans les pratiques de cybersécurité de SolarWinds, ainsi que les risques croissants auxquels la société faisait face en même temps ». L’annonce de la SEC cite une présentation d’entreprise de 2018 partagée en interne, y compris avec Brown, et qui décrivait la configuration d’accès à distance de SolarWinds comme « pas très sécurisée ». Ce qui est un doux euphémisme, car la présentation a ensuite déclaré qu’un attaquant ayant accès au système d’accès à distance « peut en principe faire ce qu’il veut sans que nous ne le détections jusqu’à ce qu’il soit trop tard ».