Cryptobilisin perustaja Arravind Prabu on kiistänyt vastuunsa peukaloituihin laitteisiin liittyvästä haavoittuvuudesta ja sanonut, ettei hänellä ollut operatiivista näkyvyyttä yhtiöön tuolloin. Paljastus tulee sen jälkeen, kun Prabu vahvisti, että Cryptobilis myytiin aiemmin tänä vuonna julkistamattomalle taholle, ja yrityskauppa saatettiin päätökseen kuukausia ennen haavoittuvuuden ilmenemistä.
Myynti ja sitä seurannut aukko
Prabu paljasti, että yhtiö oli hankittu kuukausia ennen haavoittuvuutta. Ostaja on edelleen julkistamaton. Tapaukseen liittyvässä lausunnossaan Prabu myönsi auttaneensa nykyistä johtoryhmää joissakin tapahtumissa – mutta korosti, ettei tämä apu vastannut päivittäistä osallistumista.
Hän kiisti, että hänellä olisi ollut operatiivista näkyvyyttä yhtiön päivittäiseen toimintaan. Tällä erotuksella on merkitystä. Haavoittuvuus liittyi peukaloituihin laitteisiin, mutta sitä, miten kyseiset laitteet oli vaarannettu, ei ole osoitettu minkään tietyn tahon syyksi.
Mitä Prabu itse asiassa sanoi
Prabun puolustus nojaa yksinkertaiseen väitteeseen: hän ei johtanut yhtiötä, kun peukaloiduista laitteista tuli ongelma. Hän myönsi auttaneensa nykyistä johtoryhmää joissakin tapahtumissa mutta kiisti vastuunsa itse haavoittuvuudesta. Ei ole viitteitä siitä, että hän osoittelisi syyttävällä sormella muita – hän vain vetää rajan entisen perustajaroolinsa ja nykyisen, ilman operatiivista valvontaa olevan asemansa välille.
Ero ”auttoi joissakin tapahtumissa” ja ”johti yhtiötä” välillä tekee tässä paljon työtä. Se on erottelu, josta juristit pitävät. Se on myös erottelu, jonka haavoittuvuudesta kärsineet käyttäjät saattavat kokea turhauttavana, koska Prabun nimi on edelleen sidoksissa yhtiöön, jonka hän perusti.
Miksi ajoitus on sotkuinen
Yrityskauppa, joka saatetaan päätökseen kuukausia ennen haavoittuvuutta, on harvoin puhdas vallanvaihto. Uusi johto perii infrastruktuurin, laitteet ja kaiken sen ylläpitovelan, jonka edellinen omistaja jätti taakseen. Prabu sanoo, ettei hänellä ollut näkyvyyttä näihin toimintoihin myynnin jälkeen. Jos tämä pitää paikkansa, se kaventaa hänen vastuunsa ikkunaa huomattavasti.
Mutta itse myynti – julkistamattomalle taholle – tarkoittaa, ettei ole julkista tahoa, jota voisi tarkastella. Ei nimettyä ostajaa vastaamaan kysymyksiin. Ei sääntelyviranomaisen ilmoitusta, jota voisi tutkia, ainakaan sellaista, joka olisi tehty julkiseksi. Tämä puute on itsessään ongelma kenelle tahansa, joka yrittää selvittää, kuka on vastuussa peukaloiduista laitteista.
Mitä on vielä ratkaisematta
Nykyinen johtoryhmä ei ole julkisesti vastannut Prabun lausuntoon. Julkistamatonta ostajaa ei ole nimetty. Ja itse haavoittuvuus – peukaloitujen laitteiden taustalla oleva mekanismi – on edelleen selittämättä tähän mennessä julkaistujen tietojen valossa.
Prabu on vetänyt rajansa. Se, hyväksyvätkö nykyiset toimijat tämän rajan vai työntävätkö asianomaiset käyttäjät vastaan, on seuraava seurattava asia. Toistaiseksi perustaja on ulkona, ostaja on hiljaa ja laitteet ovat edelleen kysymyksen keskiössä, johon kukaan ei ole vastannut.
