Tech

Les pirates exploitent une nouvelle règle de la SEC pour dénoncer l’entreprise qu’ils ont infiltrée

Tech > Hackers > SEC
Par Benjamin,  publié le 16 novembre 2023 à 21h50, modifié le 16 novembre 2023 à 21h50.

Les nouvelles réglementations obligent désormais les entreprises à signaler toute violation de données dans un délai de quatre jours ouvrables. Quels impacts pensez-vous que cela aura sur la transparence des entreprises ?

  • Un groupe de pirates a infiltré la société de logiciels financiers MeridianLink.
  • Après le refus de négociation de l’entreprise, ils ont signalé la violation à la SEC.
  • La SEC exige que les entreprises signalent les incidents de cybersécurité importants dans les quatre jours ouvrables.
  • MeridianLink déclare avoir contenu la menace mais enquête toujours sur une éventuelle violation des données personnelles des consommateurs.

Une tactique de piratage surprenante

Dans un tournant étonnant des événements, un groupe de pirates informatiques a choisi de signaler leur propre forfait. Après avoir infiltré le réseau de MeridianLink, une entreprise de logiciels financiers, ils ont décidé de dénoncer cette violation à la Commission des valeurs mobilières et des changes des États-Unis (SEC).

Le groupe de pirates connu sous le nom de ALPHV / BlackCat

Le groupe en question, connu sous le nom de ALPHV / BlackCat, a déjà fait parler de lui dans le passé, notamment pour avoir infiltré des entités aussi diverses que MGM Resorts et Reddit. Ce dernier coup d’éclat a été révélé pour la première fois par DataBreaches.net. Les pirates ont réussi à infiltrer les serveurs de MeridianLink le 7 novembre, volant les données de l’entreprise sans les crypter.

La nouvelle règle de la SEC

Lorsque MeridianLink a refusé de négocier directement, les pirates ont intensifié leur pression en déposant un rapport auprès de la SEC. Ils ont utilisé une nouvelle règle adoptée par la SEC cet été, qui oblige les entreprises victimes d’incidents de cybersécurité importants à les signaler à l’agence dans un délai de quatre jours ouvrables. Cependant, il semble y avoir une confusion concernant la date de mise en vigueur de cette règle, Reuters ayant signalé en octobre qu’elle entrerait en vigueur le 15 décembre.

MeridianLink a répondu rapidement pour contenir la menace. Dans une déclaration à BleepingComputer, l’entreprise a assuré qu’elle n’avait trouvé aucune preuve d’accès non autorisé à ses plateformes de production. Elle a également précisé que l’incident n’avait causé qu’une interruption minimale de ses activités. L’entreprise est toujours en train de déterminer si les informations personnelles des consommateurs ont été compromises, promettant de notifier les parties concernées si tel était le cas.

L’avis de la rédaction

La cybersécurité est un enjeu majeur dans notre monde ultra-connecté. Cette histoire démontre que même les pirates peuvent utiliser les règles à leur avantage. Il est impératif pour les entreprises de renforcer leurs défenses et de respecter les régulations en place. Le non-respect de ces règles pourrait non seulement nuire à leur réputation, mais aussi servir d’outil aux cyber-attaquants.

En savoir plus