SolarWinds : la SEC sanctionne quatre entreprises pour déclarations trompeuses

La Securities and Exchange Commission (SEC) a annoncé, le 22 octobre 2024, avoir sanctionné quatre entreprises pour « déclarations trompeuses », à la suite du piratage SolarWinds, en 2020. L’autorité de contrôle des marchés financiers des États-Unis a reconnu Check Point, Mimecast, Avaya et Unisys coupables d’avoir menti sur des « risques et intrusions en matière de cybersécurité ».

La SEC a ainsi infligé une amende d’environ 1 million de dollars (1,08 million d’euros) aux sociétés de cybersécurité Check Point et Mimecast et au spécialiste des communications en entreprise Avaya. Ces trois organisations avaient grandement minimisé l’ampleur des compromissions dont elles avaient été victimes.

Le géant des services informatiques Unisys, avait, de son côté, évoqué des risques
« hypothétiques », alors que l’entreprise avait constaté une double fuite de données. La SEC l’a donc reconnu coupable de « violations des contrôles et procédures de divulgation », et l’a condamné à une amende plus lourde, de 4 millions de dollars (3,7 millions d’euros).

Le piratage SolarWinds, généralement attribué au groupe russe Nobelium, avait frappé en 2020 l’outil de gestion des performances informatiques Orion, développé par la société SolarWinds. Comparé à un « 11 septembre cyber », il avait conduit à la compromission de plus de 18 000 clients. Parmi les victimes figuraient des administrations américaines, dont les départements du Trésor et du Commerce, et des géants de la tech, comme Cisco, Intel ou Microsoft.