De Amerikaanse beurswaakhond SEC is een onderzoek gestart naar de wereldwijde zeroday-aanval via MOVEit Transfer, zo heeft softwareleverancier Progress Software bekendgemaakt (pdf). Meer dan 2500 organisaties werden slachtoffer van de aanval, waarbij gegevens van bijna 65 miljoen mensen werden gestolen, aldus antivirusbedrijf Emsisoft.

MOVEit Transfer is een applicatie voor het uitwisselen van bestanden. Allerlei organisaties maken er gebruik van om onder andere vertrouwelijke informatie binnen de organisatie te delen. Een zerodaylek in deze software werd eind mei bij een wereldwijde aanval gebruikt, waarbij criminelen achter de Clop-ransomware toegang tot de MOVEit-servers van duizenden organisaties kregen en daarbij allerlei gegevens buitmaakten.

Op de eigen website publiceert de Clop-groep vervolgens de namen van getroffen organisaties. Als het gevraagde losgeld niet wordt betaald dreigt de groep de gestolen data te publiceren. Progress Software, de ontwikkelaar van MOVEit Transfer, heeft tot nu toe van 23 klanten bericht gehad dat ze door de aanval zijn getroffen. Een aantal van hen wil een schadevergoeding. Daarnaast is Progress onderdeel van 58 massaclaims die zijn aangespannen door personen van wie gegevens bij de zeroday-aanval zijn gestolen.

Eerder deze maand ontving Progress Software een dagvaarding van de SEC om documenten en andere informatie over de MOVEit-kwetsbaarheid te overhandigen. Volgens de softwareleverancier gaat het om een feitenonderzoek van de Amerikaanse beurswaakhond en wil het onderzoek niet zeggen dat Progress Amerikaanse wetgeving heeft overtreden.