Yahoo deberá pagar US$35 millones por no dar a conocer una violación de ciberseguridad
Yahoo! Inc. acordó esta semana pagar una multa de US$35 millones para resolver los cargos de haber engañado a los inversionistas al no revelar una de las violaciones de datos más grandes del mundo en la que los piratas informáticos robaron datos personales relacionados con cientos de millones de cuentas de usuario.
Yahoo llegó a un acuerdo con la SEC sin admitir ni negar los hallazgos de la agencia.
Verizon Communications, Inc. compró el negocio operativo de Yahoo en junio de 2017. Después de la adquisición, Yahoo se convirtió en Altaba Inc.
En diciembre de 2014, hackers rusos robaron lo que el equipo de seguridad de Yahoo llamaba las «joyas de la corona» de la compañía: nombres de usuario, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, contraseñas encriptadas y preguntas y respuestas de seguridad para cientos de millones de cuentas de usuario.
El equipo de seguridad se enteró de la filtración de datos a los días y reportaron la violación a los miembros del departamento legal y de administración superior de Yahoo.
Yahoo no compartió la información sobre la violación con sus auditores o asesores externos. Por lo tanto, los expertos externos no pudieron «evaluar las obligaciones de divulgación de la compañía en sus presentaciones públicas», dijo la Comisión de Bolsa y Valores de EE.UU., conocida como la SEC.
Yahoo reveló la violación dos años después, en 2016, cuando cerraba el acuerdo con Verizon.
Steven Peikin de la SEC dijo: «No cuestionamos la buena fe de los criterios de opinión sobre la divulgación de incidentes cibernéticos».
«Pero también hemos advertido que la respuesta de una empresa a un evento de ese tipo podría ser tan escasa que se justificaría una acción coercitiva. Este es claramente el caso», dijo Peikin.
A principios de este año, la SEC publicó una guía para ayudar a las compañías que cotizan en bolsa a preparar divulgaciones sobre los riesgos e incidentes de ciberseguridad.
La SEC señaló esta semana que Yahoo presentó varios informes trimestrales y anuales durante dos años después de la violación, pero las presentaciones no mencionaron la filtración de datos ni cómo podría afectar a Yahoo.
«En cambio, las presentaciones de la compañía en la SEC declararon que solo enfrentaba el riesgo y las consecuencias negativas que podrían derivarse de las violaciones de datos», dijo la SEC.
Yahoo tampoco pudo mantener «controles y procedimientos de divulgación» para garantizar que las infracciones cibernéticas o el riesgo de ellas «se evaluaran de forma adecuada y oportuna para una posible divulgación».
La SEC dijo que su investigación continúa.