«Сами виноваты, что вас взломали». SEC два года пыталась наказать жертву хакеров — и проиграла

Отказ Комиссии по ценным бумагам и биржам США от многолетнего иска против SolarWinds снял напряжённость вокруг роли руководителей по информационной безопасности, оказавшихся под давлением после инцидента с SUNBURST. История судебного спора, тянувшаяся более двух лет, стала для отрасли символом риска, когда регулятор фактически пытался возложить на одного руководителя ответственность за последствия масштабной кибератаки.

Комиссия обратилась в суд с просьбой закрыть дело вместе с SolarWinds и руководителем направления защиты информации Тимоти Брауном. Этот шаг был оформлен как самостоятельное решение ведомства, не влияющее на будущие разбирательства. Однако само прекращение процесса стало заметным разворотом после периода, когда регулятор пытался доказать, что компания и её руководитель вводили инвесторов в заблуждение относительно мер защиты, предшествовавших атаке 2020 года.

SolarWinds восприняла решение как подтверждение своей позиции и напомнила, что сотрудники действовали добросовестно и не скрывали реальное состояние дел. Руководство компании выразило надежду, что закрытие дела снизит опасения представителей отрасли, которые опасались масштабных юридических последствий после киберинцидентов.

Глава SolarWinds Судхакар Рамакришна отметил, что атака стала для компании своеобразной точкой перелома. Тогда злоумышленники из группы Cozy Bear проникли во внутреннюю инфраструктуру SolarWinds и внедрили вредоносный код в платформу Orion. Загруженный обновлённый продукт получил около 18 тысяч организаций по всему миру, а около сотни из них столкнулись с дальнейшими вторжениями. Среди пострадавших оказались Microsoft, Intel, FireEye и Cisco, а также министерства финансов, энергетики, юстиции и обороны США.

SolarWinds заявила, что произошедшее заставило компанию пересмотреть подходы к разработке и создать собственную инициативу Secure by Design, направленную на повышение доверия к программным продуктам и ужесточение внутренних практик. Компания подчёркивает, что принятые меры стали прямым следствием событий четырёхлетней давности.

Иск Комиссии от 2023 года содержал обвинения в сокрытии уязвимостей начиная с 2018 года и в попытке уменьшить значение инцидента после обнаружения вредоносного обновления. SolarWinds в ответ заявляла, что регулятор наказывает организацию, которая сама стала жертвой взлома. Большая часть обвинений была отклонена судом ещё летом 2024 года, что, вероятно, повлияло на решение Комиссии отказаться от дальнейшего разбирательства. Представители ведомства пока не дали дополнительного комментария.