Поставщик облачных CRM Blackbaud заплатит штраф $3 млн. за сокрытие утечки данных инвесторов

Комиссия по ценным бумагам и биржам (SEC) обязала поставщика облачных CRM-систем Blackbaud выплатить штраф на сумму $3 млн. по обвинению в том, что она ввела своих инвесторов в заблуждение относительно атаки программы-вымогателя в 2020 году , которая затронула более 13 000 клиентов компании.

В 16 июля 2020 года фирма Blackbaud объявила, что в ходе атаки программы-вымогателя информация о банковских счетах инвесторов или номера социального страхования (SSN) остались не затронуты. На самом деле это оказалось ложью.

«Расследование показало, что киберпреступники могли получить доступ к некоторым незашифрованным полям, предназначенным для информации о банковском счете, номеров социального страхования (SSN), логинам и паролям пользователей. В большинстве случаев поля, предназначенные для конфиденциальной информации, были зашифрованы и недоступны», — сообщили представители компании.

Эти слова являются полной противоположностью предыдущим заявлениям, сделанным через 2 месяца после взлома:

«Киберпреступники не получили доступ к информации о кредитных картах, о банковских счетах или номерах социального страхования. Поскольку защита данных наших клиентов является нашим главным приоритетом, мы оплатили выкуп киберпреступникам, подтвердив, что удаленная копия данных была уничтожена», — заявили представители Blackbaud после взлома.

Всё началось с того, что IT-специалисты компании не проинформировали высшее руководство об атаке. Blackbaud также не раскрыла информацию об атаке в своем ежеквартальном отчете для SEC несмотря на то, что ее персонал знал, что публичные заявления компании об атаке были ошибочными.

Дэвид Хирш, начальник отдела криптоактивов и киберподразделения SEC Enforcement Division, напомнил публичным компаниям, что они обязаны предоставлять своим инвесторам точную и своевременную существенную информацию. Хирш также отметил, что, если компания предоставляет SEC ложные сведения, её инвесторы могут подать коллективный иск в суд.