جيتي إيماجيس | شون جلادويل
رفعت هيئة الأوراق المالية والبورصة الأمريكية دعوى قضائية ضد شركة SolarWinds Corp ورئيس أمن المعلومات تيموثي براون أمس، زاعمة أنهما أخفيا فشلًا أمنيًا أدى إلى هجوم إلكتروني استمر لمدة عامين تقريبًا والمعروف باسم “Sunburst”. ال هجوم، والتي يُقال إن قراصنة روس نفذوها، أدخلت تعليمات برمجية ضارة في برنامج إدارة الشبكة SolarWinds الذي يستخدمه آلاف العملاء، بما في ذلك الوكالات الحكومية الأمريكية والشركات الخاصة.
منذ طرحها العام الأولي في أكتوبر 2018 حتى يناير 2021، احتالت شركة SolarWinds and Brown على مستثمري وعملاء SolarWinds من خلال البيانات الخاطئة والإغفالات والمخططات التي أخفت ممارسات الأمن السيبراني السيئة للشركة ومخاطر الأمن السيبراني المتزايدة والمتزايدة، ” ال دعوى قضائية SEC قال. “لقد رسمت التصريحات العامة لشركة SolarWinds حول ممارسات ومخاطر الأمن السيبراني صورة مختلفة تمامًا عن المناقشات والتقييمات الداخلية حول انتهاكات سياسة الأمن السيبراني للشركة ونقاط الضعف والهجمات السيبرانية.”
رفعت هيئة الأوراق المالية والبورصة دعوى قضائية ضد الشركة وبراون في المحكمة الجزئية الأمريكية للمنطقة الجنوبية من نيويورك. وتسعى هيئة الأوراق المالية والبورصة إلى إبطال “المكاسب غير المشروعة”، وفرض عقوبات مالية مدنية، وفرض حظر دائم على براون من العمل كمسؤول أو مدير لأي شركة تصدر أوراقًا مالية.
“نزعم أن SolarWinds وBrown تجاهلتا لسنوات عديدة الإشارات الحمراء المتكررة بشأن المخاطر السيبرانية التي تتعرض لها SolarWinds، والتي كانت معروفة جيدًا في جميع أنحاء الشركة ودفعت أحد مرؤوسي Brown إلى الاستنتاج: “نحن بعيدون جدًا عن أن نكون شركة ذات تفكير أمني الشركة،” قال مدير قسم الإنفاذ في هيئة الأوراق المالية والبورصات، جوربير جريوال، في أ بيان صحفي. “بدلاً من معالجة نقاط الضعف هذه، انخرطت شركة SolarWinds وBrown في حملة لرسم صورة زائفة لبيئة الضوابط السيبرانية للشركة، وبالتالي حرمان المستثمرين من المعلومات المادية الدقيقة.”
قامت الشركة بتسليم برامج مخترقة إلى 18000 عميل
زعمت هيئة الأوراق المالية والبورصة أن “SolarWinds وBrown انتهكتا أحكام مكافحة الاحتيال الواردة في قانون الأوراق المالية لعام 1933 وقانون الأوراق المالية لعام 1934؛ وانتهكت SolarWinds أحكام إعداد التقارير والضوابط الداخلية لقانون البورصة؛ وساعد براون وحرض على انتهاكات الشركة”. شغل براون منصب نائب رئيس قسم الأمن والهندسة المعمارية في شركة SolarWinds ورئيس مجموعة أمن المعلومات في الفترة من يوليو 2017 إلى ديسمبر 2020، وكان مدير أمن المعلومات في الشركة التي يقع مقرها في تكساس منذ يناير 2021.
تم الاعتراف بـ SolarWinds في أ إيداع ديسمبر 2020 مع هيئة الأوراق المالية والبورصة، تم إبلاغها بوجود هجوم إلكتروني أدى إلى إدخال ثغرة أمنية في برنامج المراقبة Orion الخاص بها، وهو خط من المنتجات يمثل 45 بالمائة من إيرادات الشركة. وقالت الدعوى القضائية التي رفعتها هيئة الأوراق المالية والبورصة إن الهجوم كان مستمرًا في يناير 2019 عندما “وصلت الجهات الفاعلة التهديدية إلى أنظمة SolarWinds من خلال VPN باستخدام جهاز غير مُدار”، مما منحهم “وصولاً واسعًا وغير مكتشف إلى أنظمة SolarWinds”. من غير المعروف ما إذا كان المهاجمون قد تمكنوا من الوصول قبل يناير 2019.
وجاء في الدعوى القضائية التي رفعتها هيئة الأوراق المالية والبورصة: “باستخدام وصولهم، أدخلت الجهات الفاعلة في التهديد تعليمات برمجية ضارة في ثلاثة تصميمات برمجية لمنتجات Orion الخاصة بشركة SolarWinds”. “قامت شركة SolarWinds بعد ذلك بتسليم هذه المنتجات المخترقة إلى أكثر من 18000 عميل في جميع أنحاء العالم. وقد زودت التعليمات البرمجية الضارة الجهات الفاعلة في التهديد بالقدرة على الوصول إلى أنظمة هؤلاء العملاء المخترقين، بشرط استيفاء شروط أخرى معينة، وأصبحت تُعرف باسم هجوم Sunburst. “
ذكر البيان الصحفي الصادر عن هيئة الأوراق المالية والبورصة والذي يلخص الدعوى القضائية أن ملفات SolarWinds الخاصة بهيئة الأوراق المالية والبورصة “ضللت المستثمرين من خلال الكشف عن المخاطر العامة والافتراضية فقط في الوقت الذي كانت فيه الشركة وبراون على علم بأوجه قصور محددة في ممارسات الأمن السيبراني لشركة SolarWinds بالإضافة إلى المخاطر المرتفعة المتزايدة التي واجهتها الشركة”. في نفس الوقت.”