Cuộc tấn công vi phạm bảo mật nghiêm trọng vào SolarWinds tới nay đã có hơn một trăm cơ quan và công ty của Hoa Kỳ đã bị xâm nhập. Chủ tịch Microsoft, Brad Smith nói rằng: "Đây là cuộc tấn công có quy mô lớn và tinh vi nhất mà thế giới từng chứng kiến với sự tham gia của hơn một nghìn tin tặc”.

Tuy nhiên, cựu Giám đốc điều hành SolarWinds Kevin Thompson lại cho rằng, sự cố này bắt nguồn do một thực tập sinh đặt mật khẩu quan trọng là "solarwinds123" và mật khẩu bị chia sẻ trên GitHub.

Đại diện của Golden Solutions (công ty cung cấp các giải pháp doanh nghiệp Ấn độ) tuyên bố, SolarWinds đã xác định rằng thông tin xác thực sử dụng mật khẩu đó là dành cho ứng dụng của nhà cung cấp bên thứ ba chứ không phải để truy cập vào hệ thống công nghệ thông tin của SolarWinds. Thậm chí, ứng dụng thậm chí không kết nối với các hệ thống công nghệ thông tin của SolarWinds. Do đó, thông tin xác thực sử dụng mật khẩu này không liên quan gì đến cuộc tấn công SUNBURST hoặc các vi phạm khác đối với hệ thống công nghệ thông tin của công ty.

Thompson - Cựu Giám đốc điều hành SolarWinds báo cáo với Ủy ban Giám sát Nội địa và Giám sát chung của Hạ viện Hoa Kỳ rằng, "Mật khẩu đơn giản là sai lầm mà một thực tập sinh đã mắc phải. Thực tập sinh này đã vi phạm chính sách mật khẩu của chúng tôi và đã đăng mật khẩu đó lên tài khoản Github riêng tư. Ngay sau khi xác định được, nhóm an ninh mạng của chúng tôi đã gỡ xuống".

Sudhakar Ramakrishna, Giám đốc điều hành SolarWinds cho biết, mật khẩu "solarwinds123" đã được sử dụng vào năm 2017. Vinoth Kumar, nhà nghiên cứu bảo mật đã phát hiện ra mật khẩu bị rò rỉ cho biết, SolarWinds đã không khắc phục sự cố cho đến tháng 11/2019. SolarWinds không chắc rằng mật khẩu này có phải là lỗ hổng mà tin tặc Nga đã sử dụng để xâm nhập vào các hệ thống của Mỹ hay không.

Smith đề xuất với Thượng viện Hoa Kỳ rằng, trong tương lai Chính phủ Liên bang nên áp đặt nghĩa vụ thông báo về vi phạm an ninh mạng đối với các tổ chức trong khu vực tư nhân. Thông thường, không ai biết về các vi phạm an ninh của công ty cho đến khi họ làm lộ ra ngoài. Smith đồng ý rằng đây không phải là hướng đi dễ dàng cho các tổ chức tư nhân, nhưng ông nghĩ đây là cách duy nhất để bảo vệ an ninh mạng quốc gia.