因網路安全信披違規，這家上市銀行被罰超2500萬元
旗星銀行在一次導致150萬客戶個人身份資訊洩露的網路攻擊後，“疏忽地”發表具有實質誤導性的聲明。
前情回顧·全球網路安全執法
安全內參12月24日消息，美國商業銀行旗星銀行（Flagstar Bank）因在2021年的網路攻擊事件後發表誤導性聲明，於上周被美國證券交易委員會（SEC）罰款350萬美元（約合人民幣2554萬元）。
根據SEC的調查結果，2021年底，一名駭客成功侵入旗星銀行的內部Citrix環境，竊取了150萬客戶的個人身份資訊。然而，旗星銀行“疏忽地”在其官方網站及財務報告中發表了具有實質誤導性的聲明。
在旗星銀行於2022年3月1日提交的2021年10-K表格中，該銀行聲稱網路攻擊“可能會中斷我們的業務或危及客戶的敏感數據”。但SEC的命令指出，旗星銀行並未如實披露，其已遭遇網路攻擊的事實，此次攻擊不僅導致客戶數據洩露，還對該銀行的抵押貸款發放業務造成中斷。
SEC進一步發現，在2022年6月17日向客戶發佈的通知以及2022年8月9日提交的證券檔中，旗星銀行對Citrix漏洞的範圍發表了具有誤導性的聲明。
此外，SEC指出，旗星銀行未能建立和維護足夠的披露控制及相關程式，以確保其能夠收集並披露所有重要資訊，從而滿足披露要求。
旗星銀行既未承認也未否認委員會的指控，但同意支付350萬美元罰金，並接受一項禁止其未來發表誤導性聲明的停止令。
旗星銀行的一位發言人在一份電子郵件聲明中表示：“我們很高興能夠與SEC就此事達成解決方案。我們仍然致力於履行合規和監管義務。”
值得注意的是，這並非旗星銀行第一次遭遇網路攻擊。2021年，另一群不法分子利用旗星銀行用於保護敏感資訊的Accellion檔傳輸設備軟體中的漏洞實施了攻擊。
除此之外，2023年旗星銀行再度成為網路攻擊的受害者，此次攻擊利用了檔傳輸系統MOVEIt的漏洞，影響了約83.739萬旗星銀行客戶及超過2000個組織。
