Hakeri koriste nova pravila SEC-a da prijave kompaniju u koju su se infiltirali
Nove regulativne promene zahtevaju od kompanija da otkriju nepravilnosti u roku od četiri radna dana.
Grupa je poznata kao ALPHV/BlackCat
Grupa hakera je primenila iznenađujuću taktiku nakon što su se infiltirali u mrežu finansijske softverske kompanije. Hakeri su prijavili su da su podaci kompromitovani Američkoj komisiji za hartije od vrednosti i berzu (SEC-u).
Prema izveštajima, incident je izvršila grupa poznata kao ALPHV/BlackCat. Ova grupa je poznata po prodiranju u različite organizacije, kao što su MGM Resorts i Reddit. Hakeri su navodno upali u servere kompanije MeridianLink 7. novembra, ukrali podatke kompanije bez enkripcije. Međutim, kada kompanija nije direktno pregovarala, hakeri su povećali pritisak podnošenjem izveštaja SEC-u.
To su uradili pozivajući se na novo pravilo koje je SEC usvojio ovog leta. Pravilo zahteva od kompanija koje postanu žrtve “materijalnih sajber-napada” da ih prijave agenciji u roku od četiri radna dana.
Međutim, četvorodnevni zahtev možda još uvek nije stupio na snagu. Postoji zvanični obrazac koji tvrdi da je pravilo trebalo da stupi na snagu 90 dana nakon datuma objavljivanja u Federalnom registru (koji je bio 4. avgust, što bi značilo da je navodni datum stupanja na snagu bio 2. novembar) ili 18. decembar.
Kompanija navodi da lične informacije potrošače nisu kompromitovane
Međutim, dokument Federalnog registra precizira da će se zahtevi za otkrivanje incidenta, kako je naznačeno u stavci 1.05 obrasca 8-K i u obrascu 6-K, primenjivati na sve registrovane kompanije osim manjih izveštaja kompanija od 18. decembra 2023. Takođe, prema izveštajima Reuters-a iz oktobra, pravilo će stupiti na snagu 15. decembra.
Kompanija MeridianLink je navela da je brzo reagovala da bi suzbila pretnju. “Na osnovu naše dosadašnje istrage, nismo pronašli dokaze o neovlašćenom pristupu našim proizvodnim platformama. Incident je prouzrokovao minimalnu prekid poslovanja,” napisala je kompanija. Kompanija navodi da još pokušava da utvrdi da li je došlo do narušavanja ličnih informacija potrošača, obećavajući da će obavestiti pogođene strane ukoliko je do toga došlo.
Bilo da SEC ima ovlašćenja da preduzme nešto zbog neuspeha kompanije MeridianLink da prijavi incident u roku od četiri radna dana, pravilo bi moglo, ironično, služiti kao novo oruđe za sajber napadače. Umesto da kontaktiraju korisnike kako bi pojačali pritisak i naterali kompanije da ispune njihove zahteve, hakeri sada mogu jednostavno da ih prijave državnoj administraciji.
Izvor: Engadget
