SEC решиха да не предприемат наказателни действия към Progress Software

Комисия по ценните книжа и борсите на САЩ (U.S. Securities and Exchange Commission, SEC) заяви, че не възнамерява към този момент да предприема някакви действия към Progress Software. Компанията е доставчик на MOVEit Transfer, корпоративен софтуер за отдалечен трансфер на данни. Компаниите, които го използват станаха обект на мащабни атаки през миналата година. Причината за тях беше CVE-2023-34362, критична уязвимост, позволяваща дистанционното изпълнение на произволен код.

Едва няколко седмици след като Progress издадоха актуализация за уязвимостта, жертвите на атаките към нея вече бяха десетки. Сред първите тук например бяха Gen Digital, собственици на Avast, Avira, AVG, Norton и LifeLock. Дупката в софтуера беше експлоатирана от няколко големи рансъмуер групи, а сред пострадалите от атаките им станаха британската Би Би Си, British Airways, Siemens Energy, правителствени организации и др. По данни на компанията за антивирусна сигурност Emsisoft, жертвите от атаките към CVE-2023-34362 възлизат на 2773 организации по цял свят.

В края на миналата година Progress Software заявиха, че са разследвани от няколко различни страни, както в САЩ, така и в Европа. Сред тях са неназована американска федерална агенция, SEC, прокурори, регулатори по опазване на личните данни. В края на миналата седмица от компанията разкриха настоящето решение на SEC. От комисията са отказали коментар по темата за Recorded Future, които предават новината. Говорител на SEC е заявил единствено, че не коментират съществуването или несъществуването на възможно разследване. Progress не разкриват целта на разследването на SEC, но се предполага, че комисията е разглеждала начина, по който Progress предават информация на инвеститорите си. Recorded Future припомнят, че в сходно разследване от миналата година SEC обвиниха SolarWinds и главният финансов отговорник на компанията. Става дума за серия от атаки отпреди четири години към ползващите SolarWinds Orion, софтуер за отдалечено управление на системи, използван от множество американски компании и организации. През 2023 SEC обвиниха споменатите страни, че са излъгали акционерите си за реалното състояние на защитеността на мрежата на SolarWinds, както и че са скрили (умишлено или не) от тях два сериозни киберинцидента. По-късно обаче областен прокурор в САЩ отхвърли решенията на SEC.

Инцидентът с MOVEit предизвика хаос в офисите на компании, правителствени и държавни организации, а данните на много от тях бяха откраднати в хода на атаките. SEC не са единствената заплаха за Progress Software. Скоро след вълната от атаки, няколко големи компании, засегнати от тях, заведоха дела към компанията. Отделно от това, Progress са обвиняеми в 144 колективни съдебни иска. Компанията все още е разследвана и от американските федерални власти.