Mentir sobre ataque hacker custou R$ 42 milhões à Unisys, Avaya, Check Point Software e Mimecast
Mentir custa caro ao bolso de fornecedores nos Estados Unidos. A Comissão de Valores Mobiliários norte-americana (SEC) aplicou multas de US$ 7 milhões (ou quase R$ 42 milhões) em quatro empresas por fazerem divulgações enganosas relacionadas à violação de dados da SolarWinds, ocorrida em 2019. Foram penalizadas a Unisys, que pagará US$ 4 milhões, a Avaya, que pagará US$ 1 milhão, e as empresas Check Point Software e Mimecast que pagarão, respectivamente, US$ 995 mil.
Segundo a SEC, as empresas “negligentemente” minimizaram os danos das violações da violação de dados da SolarWinds. O ataque hacker foi conduzido pelo grupo APT29 (também conhecido como Cozy Bear ou Turla Group, supostamente patrocinado pela Rússia), e comprometeu a empresa de monitoramento de rede SolarWinds, sediada nos Estados Unidos, num dos maiores ataques à cadeia de suprimentos da história.
“Embora as empresas públicas possam se tornar alvos de ataques cibernéticos, cabe a elas não vitimar ainda mais seus acionistas ou outros membros do público investidor, fornecendo divulgações enganosas sobre os incidentes de segurança cibernética que encontraram”, disse Sanjay Wadhwa, diretor interino do SEC. “Concluímos que essas empresas forneceram divulgações enganosas sobre os incidentes em questão, deixando os investidores no escuro sobre o verdadeiro alcance dos incidentes.”
De acordo com a SEC, a Avaya informou que os hackers acessaram um “número limitado” de e-mails de empresas, mas omitiu que os hackers também acessaram “pelo menos 145 arquivos em seu ambiente de compartilhamento de arquivos em nuvem”.
Já a Check Point Software “descreveu intrusões e riscos cibernéticos” em “termos genéricos”. O Mimecast “minimizou o ataque ao não divulgar” qual código e a quantidade de credenciais criptografadas da empresa que os hackers roubaram. AUnisys, por sua vez, “descreveu seus riscos decorrentes de eventos de segurança cibernética como hipotéticos” mesmo tendo sido atingida por duas violações relacionadas à SolarWinds.
Todas as empresas colaboraram com a sua investigação e concordaram em pagar as penalidades e “cessar e desistir de futuras violações das disposições acusadas”, embora não tenham ‘admitido ou negado’ as conclusões finais da SEC.
