Multas da SEC a Empresas de Tecnologia e Cibersegurança

A Comissão de Valores Mobiliários dos Estados Unidos (SEC) anunciou na terça-feira que apresentou charges e impôs penalidades a quatro empresas devido a divulgações enganosas relacionadas ao vazamento de dados da SolarWinds em 2019.

Empresas Envolvidas e Penalidades

As quatro empresas acusadas são:

• Check Point: penalidade civil de $995,000;
• Mimecast: penalidade civil de $990,000;
• Unisys: penalidade civil de $4 milhões;
• Avaya: penalidade civil de $1 milhão.

Contexto do Incidente de Cibersegurança

Todas essas empresas foram vítimas do ataque que afetou a SolarWinds, o qual teve repercussões em várias outras organizações e agências governamentais que utilizavam o software da SolarWinds. Segundo a SEC, cada empresa cometeu violações diferentes que “negligentemente” minimizaram os danos causados por esses incidentes.

“Enquanto as empresas públicas podem se tornar alvos de ciberataques, é dever delas não further victimize seus acionistas ou outros membros do público investidor por meio de divulgações enganosas sobre os incidentes de cibersegurança que encontraram”, afirmou Sanjay Wadhwa, diretor interino da Divisão de Aplicação da SEC.

Detalhes das Violações

De acordo com a SEC, as violações cometidas por cada empresa foram:

• Avaya: afirmou que os hackers acessaram um “número limitado” de e-mails de empresas, mas não mencionou que os invasores também acessaram “pelo menos 145 arquivos em seu ambiente de compartilhamento de arquivos na nuvem.”
• Check Point: descreveu intrusões cibernéticas e riscos de maneira “genérica”, minimizando a gravidade da situação.
• Mimecast: minimizou o ataque ao não divulgar qual código e a quantidade de credenciais criptografadas que foram roubadas.
• Unisys: descreveu seus riscos relacionados a eventos de cibersegurança como hipotéticos, embora tenha sido afetada por dois incidentes relacionados à SolarWinds.

Colaboração com a Investigação da SEC

A SEC declarou que todas as empresas colaboraram com a investigação e concordaram em pagar as penalidades, além de “cessar e desistir de futuras violações das disposições cobradas”, enquanto não “admitiram nem negaram” as conclusões da SEC.

A porta-voz da Avaya, Julianne Embry, comunicou ao TechCrunch que a SEC “reconheceu a colaboração voluntária da Avaya e que tomamos certas medidas para aprimorar os controles de cibersegurança da empresa”.

Posições das Empresas Envolvidas

As empresas se pronunciaram sobre as penalidades e suas ações:

• Check Point: O porta-voz Gil Messing afirmou que “a Check Point investigou o incidente SolarWinds e não encontrou evidências de que dados de clientes, código ou outras informações sensíveis foram acessados. No entanto, decidimos que colaborar e resolver a disputa com a SEC era do nosso melhor interesse.”
• Mimecast: O porta-voz Timothy Hamilton destacou que a empresa “fez divulgações extensivas e se engajou proativamente com nossos clientes e parceiros, mesmo aqueles que não foram afetados”.
• Unisys: O porta-voz Jamie Baid se recusou a comentar e se referiu ao arquivamento 8-K da empresa publicado na terça-feira.

Implicações Futuras

Nos últimos anos, a SEC impôs uma série de novas obrigações às empresas de capital aberto no que diz respeito à divulgação de vazamentos de dados, e seus efeitos sobre a empresa e seus clientes e usuários.

Essas ações demonstram a crescente responsabilidade das empresas em manter a transparência e a corretude nas informações fornecidas aos investidores, especialmente em um cenário onde incidentes de cibersegurança se tornam cada vez mais comuns.

#SEC, #tecnologia, #cibersegurança, #multas, #dados, #SolarWinds, #transparência

Fonte