Die Wertpapier- und Börsenkommission (Securities and Exchange Commission, SEC) hat nach einer Datenpanne, bei der personenbezogene Daten von Nutzern offengelegt wurden, die auf ihren digitalen Plattformen registriert sind, eine Untersuchung und eine systemweite Sicherheitsprüfung eingeleitet.

In einer am Montag veröffentlichten Erklärung teilte die Unternehmensaufsicht mit, dass ihre erste Bewertung ergeben habe, keine Unternehmensunterlagen oder gespeicherten Passwörter kompromittiert worden seien und die Intaktheit ihrer internen Systeme gewährleistet bleibe.

„Es wurden keine Passwörter geleakt und keine Daten in irgendeiner Weise verändert oder modifiziert. Die SEC versichert der Öffentlichkeit, dass die gesamte interne Datenbankinfrastruktur und die Systemintegrität unversehrt bleiben“, hieß es.

Bei der Panne handelte es sich um personenbezogene Daten, die mit registrierten Nutzern der digitalen Plattformen der SEC verknüpft sind, darunter Namen, Kontaktdaten und weitere Kontoinformationen. Die Kommission erklärte, sie prüfe noch Ursprung, Umfang und Gültigkeit der betroffenen Datensätze; zudem habe sie bislang nicht bekannt gegeben, wie viele Nutzer betroffen sind oder woher die Panne stammte.

Die SEC ist die staatliche Behörde der Philippinen, die für Unternehmensregistrierung und Wertpapieraufsicht zuständig ist; ihre elektronischen Plattformen werden von Unternehmen und Privatpersonen für Einreichungen und andere Transaktionen genutzt. Diese Abhängigkeit macht die Sicherheit der registrierten Nutzerdaten zu einem Anliegen, das über die Behörde hinausreicht und auch die Unternehmen und Fachleute betrifft, die mit ihr Geschäfte abwickeln.

Der Vorfall wurde laut Berichten über Benachrichtigungen an betroffene Nutzer ebenfalls der National Privacy Commission gemeldet – der Behörde, die den philippinischen Data Privacy Act durchsetzt und die Einhaltung der Meldepflichten bei Datenvorfällen überwacht.

Der Regulierer erklärte, er habe unmittelbar nach Entdeckung des Vorfalls Eindämmungs- und Präventivmaßnahmen eingeleitet, darunter Sicherheitsscans, Prüfungen auf Kompromittierungsindikatoren, digitale forensische Untersuchungen und Loganalysen über seine Plattformen hinweg.

„Die SEC hat zudem die Zugriffskontrollen weiter verstärkt, Authentifizierungsdaten aktualisiert und die Datenintegrität überprüft, um sicherzustellen, dass keine Daten verändert wurden und die Unternehmensdatenbestände sicher blieben“, hieß es.

Darüber hinaus hat die Kommission neue Schutzvorkehrungen und Überwachungsmaßnahmen eingeführt, die verdächtige Aktivitäten erkennen und unbefugten Zugriff auf Nutzerkonten verhindern sollen. Solche Verifizierungsschritte sind eine gängige Reaktion, wenn Kontaktdaten offengelegt werden, da Namen und Kontaktinformationen selbst dann für Phishing- oder Identitätstäuschungsversuche gegen Kontoinhaber genutzt werden können, wenn die Zugangsdaten unangetastet bleiben.

„Die SEC führt weiterhin eine verstärkte Überwachung durch, um verdächtige oder unbefugte Kontoaktivitäten über ihre Dienste hinweg zu erkennen und zu blockieren. Die Kommission hat außerdem zusätzliche Verifizierungsprüfungen für kontobezogene Anfragen und Sicherheitsaktualisierungen implementiert“, hieß es.

Bis die SEC ihre Überprüfung der betroffenen Datensätze abgeschlossen hat, bleiben das volle Ausmaß und der Ursprung der Panne unklar; die Ergebnisse der laufenden forensischen Arbeiten und der Untersuchung sind damit die entscheidenden Entwicklungen, die zu beobachten sind.

— Ashley Erika O. Jose, BusinessWorld

Quelle: BusinessWorld