A Intercontinental Exchange (ICE) pagará uma multa de US$ 10 milhões por não informar as autoridades sobre uma intrusão cibernética, de acordo com um anúncio da Comissão de Valores Mobiliários dos Estados Unidos (SEC).
A violação, descoberta em abril de 2021, envolveu código malicioso inserido num dispositivo VPN para aceder à rede corporativa da ICE. A SEC afirma que o ICE identificou rapidamente a ameaça, mas não notificou os responsáveis jurídicos e de conformidade das suas subsidiárias, incluindo a Bolsa de Valores de Nova Iorque, durante vários dias.
A Conformidade e Integridade dos Sistemas de Regulação (Regulation SCI) da agência exige que as empresas informem a SEC imediatamente sobre qualquer incidente significativo de segurança cibernética. O diretor de fiscalização da SEC, Gurbir S. Grewal, disse:
“Quando se trata de segurança cibernética, especialmente eventos em intermediários críticos do mercado, cada segundo conta e quatro dias podem ser uma eternidade.”
A ICE está por trás da maior rede mundial de bolsas e câmaras de compensação. Suas subsidiárias incluem bolsas como a Bolsa de Valores de Nova York (NYSE), a ICE Futures dos EUA e da Europa, além de câmaras de compensação e provedores de dados.
A ação coerciva da SEC afetou várias subsidiárias da ICE, incluindo Archipelago Trading Services, Inc., New York Stock Exchange LLC, NYSE American LLC, NYSE Arca, Inc., ICE Clear Credit LLC, ICE Clear Europe Ltd., NYSE Chicago, Inc., e NYSE National, Inc. Além disso, a Securities Industry Automation Corporation concordou com uma ordem de cessação, além da penalidade monetária.
Em resposta às multas, os comissários da SEC, Hester Peirce e Mark Uyeda, divulgaram um comunicado classificando a multa como uma “reação exagerada” a um “incidente mínimo”.
“Esta penalidade desproporcionalmente grande por não relatar em tempo hábil um incidente que as subsidiárias da ICE SCI determinaram ser de minimis sugere-nos que a Comissão está mais preocupada em gerar grandes penalidades do que em garantir que entidades importantes do mercado resolvam vulnerabilidades tecnológicas.”
Segundo Peirce e Uyeda, a multa contribui para a percepção de que “o regime de sanções da Comissão é mais uma ferramenta para gerar números para estatísticas de final de ano e menos um meio para alcançar resultados que melhorem a integridade do mercado”. Os Comissários criticaram a abordagem da SEC em relação às empresas criptográficas no passado.
Revista: O que os criadores de mercado de criptografia realmente fazem? Liquidez ou manipulação