Overheid VS schrapt zaak tegen SolarWinds over verstrekkende hackaanval

De Amerikaanse beurstoezichthouder SEC laat zijn zaak vallen tegen SolarWinds en de hoogste securitydirecteur daar. Het techbedrijf werd in 2020 gehackt, waarna zijn beheersoftware werd misbruikt om binnen te komen bij veel andere techbedrijven en overheidsinstanties.

De Securities and Exchange Commission noemt geen reden voor het stopzetten van zijn zaak tegen SolarWinds en de chief information security officer (ciso) bij dat bedrijf. In de zomer van vorig jaar wees een Amerikaanse rechter een groot deel van de SEC-zaak tegen SolarWinds af, meldt CyberScoop nu. De afwijzing ging over claims van de Amerikaanse toezichthouder dat het techbedrijf de zogeheten Sunburst-hackaanval niet goed had onthuld. Die hackaanval begon in 2019, werd in 2020 ontdekt en eind dat jaar geopenbaard, en had grote gevolgen.

Kwaadwillenden plaatsten een backdoor genaamd Sunburst in een update voor de beheersoftware Orion van SolarWinds. Orion werd internationaal gebruikt door veel andere bedrijven, waaronder techleveranciers als Microsoft, en door diverse overheidsinstanties. Bij Microsoft kregen de aanvallers toegang tot de broncode van zeker drie producten: cloudsoftware Azure, mail- en agendaserversoftware Exchange en beheersoftware Intune. De aanvallers zouden gelieerd zijn aan Rusland.

De SEC begon eind 2023 een zaak tegen SolarWinds en de ciso. Het bedrijf en die hoogste securitydirecteur zouden informatie over de hack hebben verzwegen en daarmee Amerikaanse beursregels hebben geschonden. De dreiging van persoonlijke aansprakelijkheid voor topbestuurders baarde experts en ciso's wereldwijd zorgen. Dit zou een negatief effect hebben op openbaarmaking van securityincidenten, zou securitymanagers enorme werkdruk opleggen en zou loopbaankeuzes beïnvloeden, wat mogelijk leidt tot een tekort aan beveiligingsexperts.

SolarWinds, de ciso en de toenmalige ceo werden in 2021 al aangeklaagd door aandeelhouders van het techbedrijf. Volgens die aanklachten waren de organisatie en de hoogste verantwoordelijken vóór de hackaanval gewaarschuwd over onveilige zaken in de IT-infrastructuur van de softwareleverancier. Dit was aangetoond en intern aangekaart door een toenmalige beveiligingsstrateeg bij SolarWinds. Het bedrijf trof eind 2022 een schikking met aandeelhouders, waarbij het 26 miljoen dollar betaalde.

Reacties (7)

[Tomino]

Interessant om te lezen dat de aanklachten jegens SolarWinds uit de hoek kwamen van a) de Amerikaanse Beurstoezichthouder en b) class actions. Geen aanklacht vanuit andere wet- en regelgevingen.

Het argument dat gegeven wordt door "de sector" dat aanklachten op CISO en bestuurders zouden leiden tot paniek en minder ingevulde vacatures is waarschijnlijk enkel van toepassing op non-EU landen. Alle EU landen voeren op dit moment de NIS2 Directive in. Bestuurlijke aansprakelijkheid van toepassing! Lees: Bestuurlijke verantwoordelijkheid en opleidingsplicht voor bestuurders | Nationaal Coördinator Terrorismebestrijding en Veiligheid.

[closefuture]

Wat ik altijd interessant vind is dat dergelijke tools veelal gedeployed worden om makkelijk "vinkjes te kunnen zetten voor compliance". Dus voor ISO 27001, SOC 2, etc. Deze tools hebben vaak vergaande rechten nodig op de apparaten die zij beheren. En toch neemt eigenlijk niemand dergelijke tools op in de risico analyses van die zelfde compliance frameworks. De auditor gaat jou geen rood vlaggetje geven als er geen risico benoemt word over het gigantische single point of failure wat bijvoorbeeld SolarWinds heet.

En iedereen (althans, de meeste mensen) vinden het ook normaal dat dergelijke tools op zo'n manier geimplementeerd worden dat ze meteen een single point of failure voor een hack zijn. Het is uiteraard ook op andere manieren te implementeren. Waarbij de endpoints de centrale server meer wantrouwen. Maar dat word eigenlijk niet gedaan. Solarwinds deed het in iedergeval niet.

[Reactie gewijzigd door closefuture op 26 november 2025 14:02]

[Fox3214]

Gewoon overstappen naar Grafana en Prometheus, SolarWinds is echt een dinosaurous.

[Kees]

Solarwinds is zooo veel meer dan Grafana en Prometheus. En ze kopen ook genoeg bedrijven over waardoor je ineens 'solarwinds' bovenaan de factuur ziet.

[Fox3214]

Ohh dat geloof ik best, maar mensen bedrijven willen gewoon monitoring. En dat is ook wat in de basis SolarWinds was. Maar ze hebben teveel features geintroduceerd waarbij het constant vol zit met bugs en de basis dingen zoals monitoring vaak niet goed werken.

Plus als je kijkt wat er voor betaalt op minimaal monitoring te krijgen (volgens mij was het per interface wat je betaalt), dan is dat echt het niet waard.

[Arfman]

SolarWinds is wel iets meer dan een monitoringtool zoals de Prometheus/Grafana stack. Het wordt vooral in grote enterprises gebruikt. Dat gezegd hebbende verdient een bedrijf wat zo omgaat met cybersecurity, en dan vooral de plicht die je hebt om openheid van zaken te geven, het niet om nog klanten te krijgen. Ze tonen namelijk ook geen enkele verbetering behalve dat wat hen is opgedragen

[Fox3214]

Mijn ervaring is dat heel veel grote enterprises er vanaf willen. Omdat het en kriem is om te beheren, en dat het vaak enorm hoge kosten met zich mee brengt.

Tegenwoordig zijn er nieuwere tools die veel use cases oplossen van SolarWinds. Voor een veel scherpe prijs, en die ook beter integeren in DevOps.