网易科技讯1月23日消息，据国外媒体报道，消息人士透露，就雅虎公司的两起大规模数据泄露是否应该尽早报告给投资者一事，美国政府监管机构正在展开调查，此举可能意味着企业在遭遇受黑客攻击时何时对外公布情况的一个重要试点。
消息人士表示，美国证券交易委员会(SEC)已经开始调查并且在去年12月份发出了文件请求，调查这家科技公司有关受黑客攻击的披露是否符合民事证券法。SEC要求，公司认为对投资者有影响时必须立即披露电子安全风险。
据消息人士称，这次调查可能以雅虎在2014年发生的数据泄露为中心，那次事件导致至少5亿用户数据泄露。雅虎于2016年9月份对外披露了那次泄露事件。
截止目前为止，雅虎没有解释迟到两年时间才对外披露2014年数据泄露事件的原因，也没有解释当时是谁做出不立即对外披露细节的决定。此外，去年12月中旬雅虎还曾表示，它当时发现在2013年8月份时数据也遭遇泄露，让10亿雅虎用户私人信息遭暴露。
消息人士表示，SEC对这两次数据泄露披露的调查还处于早期阶段，现在谈论是否会导致任何公诉行为还为时过早。
法律专业人士称，SEC一直在寻找一个案例来澄清什么类型的行为将与该机构在2011年发布的指导性文件相违背。该指导文件要求公司披露有关网络安全风险和网络事件的重要信息，如果他们确定这些可能会影响投资者的话。
SEC就是否正确地公布了受黑客攻击事件已经开展对多家公司的调查，特别是在Target Corp.于2013年受到黑客攻击而导致高达7000万信用卡和借记卡账户信息泄露之后。当时，该公司在遭遇数据泄露几周后才将这一事件对外进行了公布。该公司在提交给SEC的文件中表示，SEC进行了调查但没有采取执法行动。
SEC前几位律师表示，雅虎的情况似乎比过去的事件更加清晰。如果SEC提出了一个案例，这可能会更加清晰地告诉其它公司什么类型的披露被该机构认定可能违反了这一领域的法律。专家还表示，这样的一个案例可能帮助澄清有关时间的规定，因为那次指导性的文件对此没有列出详细的要求。
由于在公布受到黑客攻击导致数据泄露事件的时间点上规定模糊，SEC从未针对任何相关公司进行立案。
所有的互联网公司都频繁地遭遇电子攻击，这类事件对公司的股价很少产生巨大影响。不过，雅虎每次在公布数据泄露事件时，其股价立即下跌。SEC已经对几家公司进行了起诉，这几家公司没有能够针对黑客行为采取必要的消费者保护措施。
雅虎去年11月份在提交的一份文件中表示，该公司正在同寻求2014年那次数据泄露事件信息的联邦、州政府和外国机构合作。这些机构包括联邦贸易委员会（FTC）、SEC、美国曼哈顿律师事务所和一些州总检察长。
针对以上消息，雅虎发言人没有直接给予置评，曼哈顿律师事务所以及SEC拒绝发表评论。
消息人士表示，雅虎最终公布的情况是2014年数据泄露中让5亿用户信息暴露，但该公司最初认为受影响的用户没有那么多。那次事件是否如雅虎管理层在2014年所理解的那样没有对公众注意力影响那么大，这是现在调查的一个问题。
雅虎在提交给SEC的一份文件中表示，该公司董事会已经设立了一个委员会来调查2014年那次数据泄露事件以及公司信息暴露情况。
雅虎投资者并非受到隐瞒信息的唯一受害者。在去年7月份其同意出售其核心业务给电信运营商Verizon Communications公司之后，雅虎对外公布了这两次数据泄露事件，因此这引发有关该交易是否会重新谈判或者甚至可能终止的质疑。这家电信运营商已经表示，该交易策略仍会保持下去，尽管它正在研究两次数据泄露事件是否会导致雅虎用户基数下降或者其它负面影响。对此，该电信运营商拒绝置评。
计算机安全专业人员培训机构SANS Institute的罗伯-李（Rob Lee）表示，雅虎在2014年遭遇大面积数据泄露事件两年之后才对外公布情况显得不常见，不过起初调查时往往会很难确定数据泄露的全部范围。
当Target Corp.在2013年遭遇黑客攻击时，该公司最初认为有4000万信用卡和借记卡账户信息暴露，只是在后来将这一数字预估提升至7000万。
但是专家表示，雅虎一案似乎很不平常，两次都涉及其披露的时间选择和泄露面积。约翰-里德-斯塔克（John Reed Stark）现在是一位网络安全顾问，曾在SEC的网络执法办公室担任负责人。他表示，“这里谈论的话题，涉及的不仅是数据泄露的可能性，也关于因数据泄露会导致一个交易的终止。”
他称，检方对任何类型的披露事项感兴趣，这是不寻常的，也未听说过以网络攻击事件披露为背景来大做文章。他说，“我在SEC供职的20年中，从未向检方提出一个有关披露的案子。
预计，雅虎将于美国当地时间周一股市收盘后公布第四季度财报。该公司不打算举行面向投资者和分析师的这次财报电话会议。（天门山）
本文来源：网易科技报道
责任编辑：
白鑫_NT4464
