MGM y Caesars enfrentan un laberinto regulatorio y legal después de incidentes cibernéticos

En el contexto de los nuevos requisitos regulatorios de la Comisión de Valores y Bolsa (SEC, por sus siglas en inglés) para divulgar incidentes cibernéticos "materiales" dentro de los cuatro días posteriores a su descubrimiento, los ataques cibernéticos gemelos contra MGM Resorts y Caesars Entertainment han demostrado cuán diferentes pueden interpretarse esas normas.

Ambos ataques surgieron a raíz del abuso de un agente de Okta, y se informa que fueron llevados a cabo por el mismo actor de amenazas de ransomware. Ambos ocurrieron en días cercanos entre sí. Sin embargo, la forma en que cada organización manejó las nuevas normas de divulgación de la SEC fue distinta.

Caesars presentó su divulgación, el formulario 8-K de la SEC, el 14 de septiembre. Estaba repleto de detalles sobre la naturaleza y el alcance del ciberataque, incluyendo el uso de un ataque de ingeniería social a un proveedor externo de soporte de TI. Sin embargo, la divulgación agregó que el incidente se descubrió el 7 de septiembre, fuera del plazo de cuatro días establecido por la SEC para informar.

MGM Resorts fue más rápido en su divulgación, presentando dentro de la ventana de cuatro días el 12 de septiembre, pero no incluyó detalles sobre la intrusión más allá de lo que ya había comunicado en un comunicado de prensa inicial.

"MGM Resorts identificó recientemente un problema de ciberseguridad que afecta a ciertos sistemas de la empresa. Inmediatamente después de detectar el problema, comenzamos una investigación con la ayuda de expertos externos líderes en ciberseguridad", decía la divulgación. "También notificamos a las fuerzas del orden y estamos tomando medidas para proteger nuestros sistemas y datos, incluyendo el cierre de ciertos sistemas. Nuestra investigación está en curso, y estamos trabajando diligentemente para resolver el asunto. La empresa seguirá implementando medidas para asegurar sus operaciones comerciales y tomará medidas adicionales según corresponda".

Al leer ambas divulgaciones, parecería que MGM está subinformando detalles del incidente o que Caesars proporcionó más información de la necesaria. Ante las discrepancias entre las divulgaciones, la SEC se negó a hacer comentarios.

Mientras tanto, la SEC ha intensificado su aplicación de su antigua política de divulgación, amenazando con acciones legales contra ejecutivos individuales involucrados en los ciberataques a la cadena de suministro de SolarWinds en 2020, por ejemplo.

La Divulgación Cibernética de MGM Carece de Detalles sobre el Incidente

Chenxi Wang, fundadora y socia general de Rain Capital, ofrece una evaluación más franca de las dos divulgaciones.

"Es difícil decir cuál estilo de divulgación se convertirá en la norma, pero es casi seguro que la de MGM no será suficiente", dice Wang. "La directriz establecía que debes divulgar la naturaleza del incidente. MGM no lo hizo del todo".

Agrega que la divulgación de Caesars está más en línea con el espíritu de la regulación. "No estoy segura de si Caesars sobredivulgó", dice Wang. "Lo que escribieron parece ser apropiado y con suficientes detalles para comprender su proceso".

Respecto al momento en que la divulgación de Caesars se realizó fuera de la ventana de cuatro días, Wang dice que hay mucha flexibilidad necesaria allí.

"En cuanto al momento, son cuatro días a partir de determinar la materialidad, no desde determinar si hubo una violación", dice Wang. "Caesars nunca dijo si el incidente era material, tal vez esa fue la razón".

Wang argumenta que es probable que la SEC otorgue más flexibilidad a las organizaciones en medio de la recuperación, como MGM Resorts. Caesars ya había recuperado gran parte de sus sistemas cuando emitió su SEC 8-K y probablemente estaba en una mejor posición para proporcionar detalles, explica Wang.

"¿Debería la SEC ser más clara acerca de lo que debe incluirse en una divulgación? Tal vez, pero hay mérito en una directriz vagamente definida, que da cierta flexibilidad en la información que se incluye en la divulgación", dice Wang. "Esto podría ser importante para una violación en curso o una investigación sin terminar".

En el caso de MGM, es probable que la organización todavía estuviera tratando de determinar si los actores de amenazas todavía tenían acceso a sus sistemas y, por lo tanto, no podían divulgar más detalles, explica Jon Clay, vicepresidente de inteligencia de amenazas de Trend Micro.

"Pero ¿las empresas están en violación si subinforman?", pregunta Clay. "Esa es una pregunta diferente".

Las Reglas de Divulgación de la SEC Siguen Siendo Vagas pero son Adoptadas por Otros Reguladores

Si bien la SEC aún no ha proporcionado orientación sobre los requisitos mínimos para las divulgaciones 8-K, la implementación del enfoque se está extendiendo fuera del ámbito del regulador. Clay afirma que la Junta de Juegos de Nevada también está utilizando las directrices de la SEC como modelo para la supervisión, por ejemplo.

La Junta de Juegos de Nevada no quiso comentar directamente sobre sus interacciones con MGM Resorts o Caesars Entertainment, pero proporcionó un enlace a la regulación 5.260, que requiere que los operadores de juegos aseguren los datos contra un ciberataque. La regulación proporcionada no incluye disposiciones para la divulgación posterior a un incidente cibernético.

"Otro aspecto de esto es que los casinos tienen que lidiar con la Junta de Control de Juegos de Nevada, que está siguiendo la guía de la SEC", agrega Clay. "Lo que esto significa para las empresas afectadas es que ahora tienen que lidiar con varias entidades diferentes, incluyendo a las fuerzas del orden. Hay muchos grupos que se han centrado en MGM y Caesars".

Aclaración: Demanda Colectiva Presentada Contra Caesars

Los reguladores no son la única complicación de papeleo que enfrentan los casinos. El lunes, solo días después de la divulgación de un ciberataque por parte de Caesars, Miguel Rodríguez presentó una demanda colectiva en el Tribunal de Distrito de los Estados Unidos en Nevada, acusando al casino de operar con una "seguridad de datos insuficiente".

Mientras las divulgaciones de Caesars y MGM Resorts avanzan hacia su conclusión, la forma en que las dos organizaciones enfrentan la serie de regulaciones y litigios establecerá un precedente crucial que otros grupos podrán utilizar para navegar futuros ciberataques. Mientras tanto, las reglas siguen siendo vagas y los parámetros de aplicación son poco claros. 

Fuente y créditos: MGM, Caesars Face Regulatory, Legal Maze After Cyber Incidents (darkreading.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.