A SolarWinds entregou hoje à SEC (Securities and Exchange Commission, equivalente norte-americano da Comissão de Valores Mobiliários) um comunicado informando que sua solução Orion foi contaminada por malware e por essa razão pode ter contaminado perto de 18 mil clientes. A empresa notificou cerca de 33.000 clientes do Orion sobre o incidente, e diz no comunicado que “menos de 18.000 clientes” podem ter instalado a versão contaminada de seu produto.
Neste momento, o risco de prejuízo para a empresa é grande: ela afirma no comunicado que de janeiro a setembro de 2020 “a receita total dos produtos Orion em todos os clientes, incluindo aqueles que podem ter instalado cópias contaminadas, foi de aproximadamente US$ 343 milhões, ou 45% da receita total da empresa”.
O comunicado, assinado pelo CEO Kevin Thompson, explica que um “ciberataque inseriu uma vulnerabilidade em seus produtos de monitoramento Orion” e que isso compromete o servidor em que o Orion estiver rodando. Pela descrição do comunicado, o malware foi introduzido durante a compilação, já que não está presente no código-fonte do produto.
Com base na investigação que está fazendo, a SolarWinds informou ter provas de que a vulnerabilidade foi inserida entre março e junho de 2020.
De acordo com o documento enviado à SEC, a SolarWinds soube pela Microsoft que houve o comprometimento de seus sistemas de e-mail e produtividade de escritório do Office 365. A empresa ainda está investigando o incidente para determinar se alguns dados foram roubados e se outros produtos podem ter sido afetados.
“Tem havido uma cobertura significativa da mídia sobre ataques a agências governamentais dos Estados Unidos e outras empresas, com muitos desses relatórios atribuindo esses ataques a uma vulnerabilidade nos produtos Orion. A SolarWinds ainda está investigando se, e em que medida, uma vulnerabilidade nos produtos Orion foi explorada com sucesso em qualquer um dos ataques relatados” continua o documento.
O documento conclui que “no momento, a SolarWinds não pode prever quaisquer consequências financeiras, jurídicas ou de reputação potenciais resultantes deste incidente, incluindo os custos relacionados ao mesmo. Para não comprometer a integridade de nenhuma investigação, a SolarWinds não pode compartilhar informações adicionais neste momento”.
Com agências internacionais
