Поставщик облачных CRM Blackbaud заплатит штраф $3 млн. за сокрытие утечки данных инвесторов

[Artifact]

Почему компаниям важно информировать вышестоящие органы о каждой кибератаке.

Комиссия по ценным бумагам и биржам (SEC) обязала поставщика облачных CRM-систем Blackbaud выплатить штраф на сумму $3 млн. по обвинению в том, что она ввела своих инвесторов в заблуждение относительно атаки программы-вымогателя в 2020 году , которая затронула более 13 000 клиентов компании.
В 16 июля 2020 года фирма Blackbaud объявила, что в ходе атаки программы-вымогателя информация о банковских счетах инвесторов или номера социального страхования (SSN) остались не затронуты. На самом деле это оказалось ложью.
«Расследование показало, что киберпреступники могли получить доступ к некоторым незашифрованным полям, предназначенным для информации о банковском счете, номеров социального страхования (SSN), логинам и паролям пользователей. В большинстве случаев поля, предназначенные для конфиденциальной информации, были зашифрованы и недоступны», — сообщили представители компании.
Эти слова являются полной противоположностью предыдущим заявлениям, сделанным через 2 месяца после взлома:
«Киберпреступники не получили доступ к информации о кредитных картах, о банковских счетах или номерах социального страхования. Поскольку защита данных наших клиентов является нашим главным приоритетом, мы оплатили выкуп киберпреступникам, подтвердив, что удаленная копия данных была уничтожена», — заявили представители Blackbaud после взлома.
Всё началось с того, что IT-специалисты компании не проинформировали высшее руководство об атаке. Blackbaud также не раскрыла информацию об атаке в своем ежеквартальном отчете для SEC несмотря на то, что ее персонал знал, что публичные заявления компании об атаке были ошибочными.
Дэвид Хирш, начальник отдела криптоактивов и киберподразделения SEC Enforcement Division, напомнил публичным компаниям, что они обязаны предоставлять своим инвесторам точную и своевременную существенную информацию. Хирш также отметил, что, если компания предоставляет SEC ложные сведения, её инвесторы могут подать коллективный иск в суд.