La Commission des valeurs mobilières des Philippines (SEC) a révélé qu'un incident de sécurité des données avait été découvert le 6 novembre et que la question avait été signalée à la Commission nationale de la vie privée (NPC).

Dans son communiqué, le régulateur a confirmé que les registres d'entreprise, les mots de passe et les bases de données n'avaient pas été affectés par l'incident, bien que certaines informations de comptes individuels puissent avoir été compromises.

Ce que la SEC dit avoir constaté

La SEC n'a trouvé aucune preuve de mots de passe compromis, de données altérées ou de registres d'entreprise affectés. Son avis a néanmoins averti que les noms, identifiants, coordonnées, dates de naissance, adresses et numéros d'identification fiscale pourraient avoir été exposés.

Les autorités enquêtent sur l'origine et l'authenticité des données en question. La SEC a indiqué avoir renforcé les précautions et lancé une enquête afin d'établir si les informations signalées sont authentiques, tout en notant que la source pourrait être un logiciel malveillant, sans pouvoir identifier la cause de l'incident.

Cette divulgation faisait suite à un rapport du 5 novembre de Deep Web Konek, un groupe philippin de défense en cybersécurité, qui avait signalé une annonce sur un forum proposant à la vente 487 000 lignes d'informations prétendument issues de la SEC.

Le BIR enquête sur une revendication de fuite de 340 000 lignes

Le Bureau of Internal Revenue (BIR) enquête sur une revendication distincte avec le Cybercrime Investigation and Coordinating Center et l'équipe nationale de réponse aux urgences informatiques, a rapporté la Philippine News Agency. Une seconde annonce sur un forum prétendait offrir 340 000 lignes de données du BIR. Le BIR n'a confirmé aucun vol de données de contribuables ; les conclusions de l'enquête détermineront si les 340 000 lignes annoncées correspondent à un vol réel.

Les annonces concernant la SEC et le BIR partagent un détail : toutes deux sont apparues le 5 novembre via un compte appelé « sinigangmixwithgabi ». Comme les revendications proviennent du même compte, aucune ne peut corroborer indépendamment l'autre, et les chiffres de 487 000 et 340 000 lignes ne donnent aucune indication sur le nombre de personnes touchées. Les données à l'origine de ces revendications n'ont pas été vérifiées de manière indépendante.

Le compte à rebours de 72 heures du régulateur de la vie privée

Selon la NPC, aucune notification de violation n'avait été reçue concernant les fuites gouvernementales alléguées au 6 novembre. La SEC, de son côté, a déclaré avoir informé la commission de la situation — deux versions des faits publiées à des moments différents.

La règle des 72 heures de la NPC s'applique lorsqu'un organisme a connaissance, ou a des motifs raisonnables de croire, qu'une violation nécessitant une notification s'est produite, auquel cas le régulateur et les parties concernées doivent en être informés. Une allégation en ligne ne constitue pas, à elle seule, une telle violation. Le point de savoir si le compte à rebours a commencé dépend donc de ce que l'enquête de la SEC établira quant à l'authenticité des données, et de la manière dont les versions divergentes de la notification seront conciliées.

Un schéma antérieur à cette semaine

Hunt.io a retracé la copie, le 6 septembre, de 68,837 GiB provenant de 27 sauvegardes SQL Server dont les noms de fichiers correspondent aux systèmes de travailleurs migrants philippins, bien que la société n'ait pas pu établir comment l'accès avait commencé ni si un logiciel malveillant avait été exécuté.

Verizon a examiné plus de 22 000 violations confirmées dans le monde dans son rapport 2026, dont 2 410 cas d'administration publique impliquant des données divulguées. IBM a estimé le coût moyen des violations en ASEAN à 4,12 millions USD, ou 6,53 millions USD pour les services financiers — aucun de ces chiffres ne constitue une estimation des pertes pour les Philippines.

Pourquoi les fuites répétées érodent la confiance dans l'administration numérique

Pour les utilisateurs des portails gouvernementaux, des profils personnels potentiellement exposés augmentent le risque d'arnaques ciblées, même lorsque les données d'entreprise restent sécurisées. La tâche immédiate consiste à confirmer si les enregistrements annoncés sont authentiques — l'enquête de la SEC, l'enquête menée par le BIR et tout changement dans le registre des notifications de la NPC étant les indicateurs à surveiller.

Les cyberattaques peuvent également avoir des conséquences financières plus larges. Le FMI avertit que les attaques contre des systèmes financiers critiques peuvent perturber les services et saper la confiance des marchés. Jusqu'à présent, toutefois, aucun impact de marché établi n'est attribuable aux incidents philippins.

La France offre un exemple plus clair de vol de données confirmé : son administration fiscale a reconnu que des registres de contribuables avaient été volés, comme l'a rapporté Cryptopolitan. Aux Philippines, la SEC a confirmé un incident de sécurité — mais ni la SEC ni le BIR n'ont vérifié les quantités de données annoncées en ligne.

Source : Cryptopolitan