Die Wertpapier- und Börsenkommission der Philippinen (SEC) hat offengelegt, dass am 6. November ein Datensicherheitsvorfall entdeckt wurde und die Angelegenheit der National Privacy Commission (NPC) gemeldet wurde.

In ihrer Erklärung bestätigte die Aufsichtsbehörde, dass Unternehmensdaten, Passwörter und Datenbanken vom Vorfall nicht betroffen seien, obwohl einige individuelle Kontoinformationen kompromittiert worden sein könnten.

Was die SEC festgestellt sagt

Die SEC hat keine Hinweise auf kompromittierte Passwörter, manipulierte Daten oder betroffene Unternehmensdaten gefunden. Ihre Mitteilung warnte dennoch, dass Namen, Benutzernamen, Kontaktdaten, Geburtsdaten, Adressen und Steuernummern offengelegt worden sein könnten.

Die Behörden untersuchen Ursprung und Echtheit der betreffenden Daten. Die SEC erklärte, sie habe ihre Vorsichtsmaßnahmen verstärkt und eine Untersuchung eingeleitet, um festzustellen, ob die gemeldeten Informationen echt sind, wobei sie eine Schadsoftware als mögliche Quelle nannte, eine Ursache für den Vorfall aber nicht benannte.

Die Offenlegung folgte auf einen Bericht vom 5. November der Gruppe Deep Web Konek, einer philippinischen Cybersecurity-Interessenvertretung, die ein Forumsangebot gemeldet hatte, in dem 487.000 Zeilen mutmaßlicher SEC-Informationen zum Verkauf angeboten wurden.

BIR untersucht Behauptung über Leak von 340.000 Zeilen

Das Bureau of Internal Revenue (BIR) untersucht eine separate Behauptung gemeinsam mit dem Cybercrime Investigation and Coordinating Center und der nationalen Notfall-Response-Team für Computer, wie die Philippine News Agency berichtete. Ein zweites Forumsangebot bot angeblich 340.000 Zeilen BIR-Daten an. Das BIR hat keinen Diebstahl von Steuerzahlerdaten bestätigt; die Untersuchungsergebnisse werden zeigen, ob die angebotenen 340.000 Zeilen einem tatsächlichen Diebstahl entsprechen.

Die SEC- und BIR-Angebote haben ein Detail gemeinsam: Beide erschienen am 5. November über ein Konto namens "sinigangmixwithgabi." Da die Behauptungen vom selben Konto stammen, kann keines das andere unabhängig bestätigen, und die Zahlen von 487.000 und 340.000 Zeilen geben keinen Aufschluss darüber, wie viele Personen betroffen sind. Die Daten hinter den Behauptungen wurden nicht unabhängig verifiziert.

Die 72-Stunden-Frist der Datenschutzbehörde

Laut NPC wurden bis zum 6. November keine Meldungen über Datenschutzverletzungen im Zusammenhang mit den behaupteten Regierungsleaks eingegangen. Die SEC erklärte ihrerseits, sie habe die Kommission über die Lage informiert — zwei Schilderungen der Ereignisse zu unterschiedlichen Zeiten.

Die 72-Stunden-Regel der NPC greift, wenn eine Behörde Kenntnis von einer meldepflichtigen Datenschutzverletzung hat oder vernünftige Gründe hat, dies anzunehmen; dann müssen die Aufsichtsbehörde und die betroffenen Parteien benachrichtigt werden. Eine Online-Behauptung stellt allein keine solche Verletzung dar. Ob die Uhr bereits läuft, hängt daher davon ab, was die Untersuchung der SEC zur Echtheit der Daten ergibt und wie die unterschiedlichen Schilderungen der Benachrichtigung in Einklang gebracht werden.

Ein Muster, das älter ist als diese Woche

Hunt.io hat die Kopierung von 68,837 GiB aus 27 SQL-Server-Backups mit Dateinamen, die zu philippinischen Systemen für Wanderarbeitnehmer passen, auf den 6. September zurückverfolgt, konnte jedoch nicht feststellen, wie der Zugriff begann oder ob Schadsoftware ausgeführt wurde.

Verizon untersuchte in seinem Bericht 2026 weltweit mehr als 22.000 bestätigte Datenschutzverletzungen, darunter 2.410 Fälle in der öffentlichen Verwaltung mit offengelegten Daten. IBM bezifferte die durchschnittlichen Kosten einer Datenschutzverletzung in der ASEAN-Region auf 4,12 Millionen US-Dollar bzw. 6,53 Millionen US-Dollar für Finanzdienstleistungen — keine der beiden Zahlen ist eine Verlustschätzung für die Philippinen.

Warum wiederholte Leaks das Vertrauen in digitale Regierungsdienste untergraben

Für Nutzer von Regierungsportalen erhöhen möglicherweise offengelegte persönliche Profile das Risiko gezielter Betrugsmaschen, selbst wenn Unternehmensdaten sicher bleiben. Die unmittelbare Aufgabe ist die Bestätigung, ob die angebotenen Datensätze echt sind — mit der SEC-Untersuchung, der BIR-geführten Prüfung und etwaigen Änderungen im Benachrichtigungsregister der NPC als Indikatoren.

Cyberangriffe können auch breitere finanzielle Folgen haben. Der IMF warnt, dass Angriffe auf kritische Finanzsysteme Dienste stören und das Marktvertrauen untergraben können. Bislang gibt es jedoch keine feststellbaren MarktAuswirkungen der philippinischen Vorfälle.

Frankreich bietet ein klareres Beispiel eines bestätigten Datendiebstahls: Die dortige Steuerbehörde räumte ein, dass Steuerzahlerdaten gestohlen worden waren, wie Cryptopolitan berichtete. Auf den Philippinen hat die SEC einen Sicherheitsvorfall bestätigt — aber weder die SEC noch das BIR haben die online angebotenen Datenmengen verifiziert.

Quelle: Cryptopolitan