Истрагата на американската Комисија за хартии од вредност (SEC) за хакерската операција на Русија против „SolarWinds“ вознемири десетици директори на корпорации кои се плашат дека информациите што ќе станат познати за време на проширувањето на истрагата ќе ги изведат пред лицето на правдата.
SEC бара од компаниите да обезбедат документи за „други“ напади што довеле до неовластен пристап до податоци или барање за откуп од октомври 2019 година, доколку ја презеле заразената ажурирана верзија на софтверот за управување со мрежи од SolarWinds Corp, која испорачува производи, користени во сите сектори на американската економија.
Луѓе запознаени со истрагата велат дека барањата може да откријат голем број нерегистрирани сајбер инциденти кои немаат врска со шпионската кампања на Русија, што на SEC и дава неверојатен пристап до информации за инциденти што компаниите веројатно никогаш немале намера да ги откријат.
„Никогаш не сум видел нешто слично“, рече консултант кој работи со десетици јавно продадени компании кои неодамна го добија барањето. „Она што ги загрижува компаниите е што не знаат како SEC ќе ги користи овие информации. И повеќето компании оттогаш беа жртви на нерегистрирани напади“.
Барањата се доброволни, а компаниите се должни да откријат се што е важно за инвеститорите. Но, фактот дека истрагите доаѓаат од службениците на SEC може да ги зголеми изгледите за истраги и строги санкции доколку компаниите не откријат прекршоци или немаат соодветни контроли за да се справат со нападите од минатото, рекоа четворица адвокати кои редовно разгледуваат случаи на SEC.
Официјален претставник на SEC рече дека барањето има за цел да пронајде други прекршувања поврзани со инцидентот на SolarWinds.
SEC им рече на компаниите дека нема да бидат казнети доколку доброволно споделат податоци за хакерскиот напад преку SolarWinds, но не понудија таква амнестија за други напади.
Сајбер нападите се зголемија и според фреквенцијата и според влијанието, што предизвика длабока загриженост во Белата куќа во текот на минатата година. Американските власти ги обвинија компаниите дека не откриваат такви инциденти, велејќи дека тоа го крие степенот на проблемот од акционерите, политичарите и органите на прогонот.
Луѓе запознаени со истрагата на SEC за Ројтерс изјавија дека барањата се испратени до стотици компании, вклучително и многу од технолошкиот, финансискиот и енергетскиот сектор, за кои се верува дека се потенцијално погодени од нападите на SolarWinds. Тој број ги надминува 100 -те кои, според Одделот за внатрешна безбедност, го презеле компромитираниот софтвер SolarWinds и потоа го користеле.
Од минатата година, јавно беа идентификувани само дваесетина компании како погодени, вклучително и Microsoft Corp, Cisco Systems, FireEye Inc и Intel Corp. Cisco потврди дека го добила писмото на SEC и одговориле на барањето.
Истражувањата во областа на сајбер -безбедноста, исто така, покажува дека производителот на софтвер Qualys Inc. и нафтената компанија Chevron Corp. биле меѓу оние што биле цел на кибер операцијата на Русија. Двете компании одбија да коментираат за „Блумберг“.
Околу 18.000 корисници на SolarWinds ја преземаа хакираната верзија на нивниот софтвер, со која сајбер -криминалците манипулираа за да добијат потенцијален иден пристап. Сепак, само мал дел од овие клиенти виделе последователни хакерски активности, што укажува на тоа дека напаѓачите заразиле многу повеќе компании отколку што на крајот станале жртви.
SEC испрати писма минатиот месец до компаниите за кои се верува дека се погодени, по првото барање испратено во јуни, според шест извори кои ги виделе писмата.
Вториот бран барања беа упатени до компаниите од првиот круг кои не одговорија. Точниот број на примачи е непознат.
Тековната истрага е „без преседан“, рече Џина Чои, партнерка во LLP Morrison & Foerster и поранешен директор на SEC, која работеше на случаи за сајбер -безбедност.
„Не можам да се сетам на истрага од таков обем што не беше објавена во јавноста, така што луѓето навистина ја разбраа целта на истрагата на SEC“, рече таа.
Иако Комисијата издаде упатства пред една деценија, барајќи од компаниите да откријат хакерски напади кои би можеле да бидат значајни и ги ажурираше тие упатства во 2018 година, многу од откритијата се намерно нејасни или формални, велат адвокатите.
Поранешен службеник на SEC, Џеј Дубоа, рече дека пристапот на Комисијата можеби не е толку многу за наметнување на контрола, туку Комисијата можеби се обидува да го разбере влијанието на инцидентот на SolarWinds.
„SEC се соочи со ситуација во која ги имате SolarWinds и толку многу од нејзините клиенти беа јавни претпријатија и други владини агенции. Кој е најефективниот начин Комисијата да се обиде да го разбере степенот на сето ова?” рече Дубоа, адвокат во Troutman Pepper.
Регулаторите понекогаш не сакаат да ги казнат компаниите за такви проблеми, бидејќи тие се жртви на овие напади.
Гери Генслер, кој ја презеде SEC во април, и наложи на агенцијата да издаде нови барања за откривање, почнувајќи од сајбер -безбедност до ризик од климатски промени.
Додека хакерскиот напад беше пријавен пред повеќе од девет месеци, вистинското влијание од големата дигитална операција за шпионажа, за која американските власти велат дека доаѓа од руското разузнавање, останува во голема мера непознато.
Владините претставници не споделуваат сеопфатни информации за тоа што точно е украдено или цел на нападот, но ја опишуваат како традиционална владина шпионажа.
Во десетици документи на SEC разгледани од Ројтерс, повеќето компании зборуваат за нападот само како пример за видот на упад на кој еден ден би можеле да станат жртви. Од оние кои велат дека имаат инсталиран софтвер SolarWinds, повеќето велат дека не веруваат дека нивните најчувствителни податоци биле компромитирани.
Но, некои компании кои откриваат дека хакери влегле во нивните системи, како што е Sana Biotech, признаа дека не можат да бидат сигурни дека немаат поголем проблем.
„Иако се водат истраги за степенот до кој нашите доверливи информации се достапни, изгубени или украдени како резултат на овој сајбер напад на SolarWinds, секој таков пристап, загуба или кражба може да има материјален негативен ефект врз нашиот бизнис“, велат од Sana Biotech.
Џон Рид Старк, поранешен шеф на Канцеларијата за извршување на Интернет регулации во SEC, рече дека „компаниите ќе имаат проблеми да одговорат на овие прашања – не само затоа што ова се широки сеопфатни барања, туку и затоа што SEC ќе ги идентификува сите празнини во тоа“, што тие претходно го откриле.
