Kıtalararası Borsa (ICE), iştiraklerinin derhal bir Nisan 2021 VPN güvenlik ihlalini bildirmelerini sağladıktan sonra ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) tarafından getirilen suçlamaları çözmek için 10 milyon dolar ceza ödeyecek.
ICE, Fortune 500'de, New York Menkul Kıymetler Borsası (NYSE) dahil olmak üzere dünya çapında finansal borsaların ve temizleme evlerinin sahibi olan ve işleten bir Amerikan şirketidir. 2023'te 13.000'den fazla kişiyi istihdam etti ve toplam 9.903 milyar dolar gelir bildirdi.
Düzenleme sistemleri uyumluluğu ve bütünlüğünün (SCI düzenleme) gerektirdiği gibi, firmalar SEC'i güvenlik olayı müdahaleleri hakkında derhal bilgilendirmeli ve operasyonları veya piyasa katılımcıları üzerindeki etkisini belirlemedikçe 24 saat içinde bir güncelleme sağlamalıdır.
SEC, "Reg Sci'ye tabi olan katılımcılar, söz konusu saldırının SEC'ini gerektiği gibi bildiremedi. Aksine, benzer siber güvenlik açıklarının raporlarını değerlendirme sürecinde katılımcılarla temasa geçen komisyon personeli oldu." Dedi.
"Siparişte iddia edildiği gibi, etkisini değerlendirmek için dört gün sürdüler ve dahili olarak bir de minimis olayı olduğu sonucuna varıyorlar. Siber güvenlik söz konusu olduğunda, özellikle kritik pazar aracılarındaki olaylar, her saniye ve dört gün sonsuzluk olabilir. "
Ice, üçüncü bir tarafın bunu sanal özel ağındaki (VPN) bilinmeyen bir güvenlik açığı ile bağlantılı potansiyel bir sistem saldırısı hakkında bilgilendirdikten sonra olayı 15 Nisan 2021'de keşfetti.
Sonraki bir soruşturma, bir tehdit oyuncusunun, kurumsal ağına uzaktan erişim için kullanılan güvenliği ihlal edilmiş bir VPN cihazına kötü amaçlı bir yük kullandığını ortaya koydu.
"Ulus-devlet aktörleri olduğuna inanılan sofistike tehdit aktörleri, çalışan adı, şifre ve çok faktörlü kimlik doğrulama kodları da dahil olmak üzere, bu cihazdan geçen bilgileri hasat etmek amacıyla uzlaşmış bir VPN cihazına bir web kabuğu kodu yükledi. Bu veriler, bu veriler izin verebilir. Dahili kurumsal ağlara erişmek için tehdit oyuncusu, "SEC'in emri açıklıyor
Bununla birlikte, ICE'nin güvenlik ekibi, tehdit oyuncusunun "VPN konfigürasyon verilerini ve bazı ICE kullanıcı meta verilerini" dışarı atabildiğine dair kanıt bulmasına rağmen, saldırganın erişiminin tek bir uzlaşmacı VPN cihazı ile sınırlı olduğunu belirleyebildi.
SEC, ICE personelinin, bu VPN güvenlik ihlali konusunda şirketin bağlı kuruluşlarındaki yasal ve uyum görevlilerini birkaç gün boyunca bilgilendirmediğini ve hem Reg Sci kurallarını hem de ICE'nin kendi iç siber olay raporlama prosedürlerini ihlal ettiğini söyledi. Bu başarısızlığın bir sonucu olarak, ICE iştirakleri izinsiz girişi değerlendiremedi ve REG SCI açıklama yükümlülüklerini yerine getirmedi.
ICE ve iştirakleri, iştiraklerin SCI düzenleme hükümlerini ihlal ettiğini ve ICE'nin bu ihlallere neden olduğunu kabul ederek SEC'in emrini kabul ettiler.
SEC'in bulgularını kabul etmeden veya reddetmeden, ICE ve iştirakleri de Reg Sci kurallarını ihlal etmelerini ve 10 milyon dolarlık bir sivil para cezası ödemelerini gerektiren bir durdurma ve tahsilat emrini kabul ettiler.
Western Sydney Üniversitesi Veri ihlali maruz kalan öğrenci verileri
SEC: Finansal kuruluşların veri ihlali bildirimleri göndermek için 30 günü var
Norveç, ihlalleri önlemek için SSL VPN'nin değiştirilmesini önerir
Microsoft, Nisan Windows güncellemelerinin neden olduğu VPN hatalarını düzeltir
Europol, web portalı ihlalini onaylıyor, operasyonel verilerin çalınmadığını söylüyor
Kaynak: Bleeping Computer