La Comisión de Bolsa y Valores de Filipinas (SEC) reveló que un incidente de seguridad de datos fue descubierto el 6 de noviembre y que el asunto fue notificado a la Comisión Nacional de Privacidad (NPC).

En su declaración, el regulador confirmó que los registros corporativos, las contraseñas y las bases de datos no fueron afectados por el incidente, aunque parte de la información de cuentas individuales podría haber quedado comprometida.

Lo que la SEC dice haber encontrado

La SEC no encontró evidencia de contraseñas comprometidas, datos alterados ni registros corporativos afectados. No obstante, su advisory advirtió que nombres, nombres de usuario, datos de contacto, fechas de nacimiento, direcciones e identificaciones de contribuyentes podrían haber quedado expuestos.

Las autoridades están investigando el origen y la legitimidad de los datos en cuestión. La SEC afirmó haber reforzado las precauciones y haber iniciado una investigación para establecer si la información reportada es auténtica, señalando que la fuente podría ser malware, sin llegar a identificar la causa del incidente.

La revelación se produjo tras un informe del 5 de noviembre de Deep Web Konek, un grupo de defensa de la ciberseguridad con sede en Filipinas, que alertó sobre un anuncio en un foro que ofrecía a la venta 487.000 líneas de supuesta información de la SEC.

La BIR investiga una supuesta filtración de 340.000 líneas

La Oficina de Recaudación Interna (BIR) está investigando una afirmación separada junto con el Centro de Investigación y Coordinación de Ciberdelitos y el equipo nacional de respuesta a emergencias informáticas, según reportó la Philippine News Agency. Un segundo anuncio en un foro afirmaba ofrecer 340.000 líneas de datos de la BIR. La BIR no ha confirmado ningún robo de datos de contribuyentes; los hallazgos de la investigación determinarán si las 340.000 líneas anunciadas corresponden a un robo real.

Los anuncios de la SEC y de la BIR comparten un detalle: ambos aparecieron el 5 de noviembre a través de una cuenta llamada "sinigangmixwithgabi." Dado que las afirmaciones provienen de la misma cuenta, ninguna puede corroborar de forma independiente a la otra, y las cifras de 487.000 y 340.000 líneas no dan indicación de cuántas personas fueron afectadas. Los datos detrás de las afirmaciones no han sido verificados de manera independiente.

El plazo de 72 horas del regulador de privacidad

Según la NPC, no se recibieron notificaciones de brechas relacionadas con las supuestas filtraciones gubernamentales al 6 de noviembre. Por su parte, la SEC afirmó que había informado a la comisión sobre la situación: dos relatos de los hechos emitidos en momentos diferentes.

La regla de 72 horas de la NPC entra en vigencia cuando una agencia tiene conocimiento de, o motivos razonables para creer, que ha ocurrido una brecha que requiere notificación, momento en el cual el regulador y las partes afectadas deben ser notificados. Una acusación en línea, por sí sola, no constituye tal brecha. Si el plazo está corriendo depende, por lo tanto, de lo que la investigación de la SEC establezca sobre la autenticidad de los datos y de cómo se concilien los distintos relatos sobre la notificación.

Un patrón que antecede a esta semana

Hunt.io rastreó la copia del 6 de septiembre de 68.837 GiB proveniente de 27 respaldos de SQL Server con nombres de archivo que coincidían con sistemas de trabajadores migrantes filipinos, aunque la firma no pudo establecer cómo comenzó el acceso ni si se ejecutó malware.

Verizon examinó más de 22.000 brechas confirmadas a nivel mundial en su informe de 2026, incluidos 2.410 casos de administración pública con datos divulgados. IBM situó el costo promedio de las brechas en la ASEAN en US$4,12 millones, o US$6,53 millones para servicios financieros; ninguna de las cifras es una estimación de pérdidas para Filipinas.

Por qué las filtraciones repetidas erosionan la confianza en el gobierno digital

Para los usuarios de portales gubernamentales, los perfiles personales potencialmente expuestos elevan el riesgo de estafas dirigidas, incluso cuando los datos corporativos permanecen seguros. La tarea inmediata es confirmar si los registros anunciados son auténticos, con la investigación de la SEC, la indagación liderada por la BIR y cualquier cambio en el registro de notificaciones de la NPC como los indicadores a observar.

Los ciberataques también pueden tener consecuencias financieras más amplias. El FMI advierte que los ataques a sistemas financieros críticos pueden interrumpir servicios y minar la confianza en los mercados. Hasta ahora, sin embargo, no hay un impacto de mercado establecido por los incidentes filipinos.

Francia ofrece un ejemplo más claro de robo de datos confirmado: su autoridad fiscal reconoció que los registros de contribuyentes fueron robados, como reportó Cryptopolitan. En Filipinas, la SEC ha confirmado un incidente de seguridad, pero ni la SEC ni la BIR han verificado las cantidades de datos anunciadas en línea.

Fuente: Cryptopolitan