La Securities and Exchange Commission (SEC) a lancé une enquête et un audit de sécurité de l'ensemble de ses systèmes après qu'une fuite de données a exposé des informations personnelles appartenant à des utilisateurs inscrits sur ses plateformes numériques.

Dans un communiqué publié lundi, le régulateur des sociétés a indiqué que son évaluation initiale avait révélé qu'aucun dossier d'entreprise ni mot de passe stocké n'avait été compromis et que l'intégrité de ses systèmes internes restait intacte.

« Aucun mot de passe n'a fuité et aucune donnée n'a été modifiée ou altérée d'une quelconque manière. La SEC assure au public que toute l'infrastructure de ses bases de données internes et l'intégrité de ses systèmes demeurent intactes », a-t-elle déclaré.

La fuite concernait des informations personnelles liées aux utilisateurs inscrits sur les plateformes numériques de la SEC, notamment leurs noms, leurs coordonnées et d'autres informations de compte. La commission a précisé qu'elle vérifiait encore l'origine, la portée et la validité des enregistrements concernés, et qu'elle n'avait pas encore indiqué combien d'utilisateurs étaient touchés ni d'où provenait la fuite.

La SEC est l'agence gouvernementale philippine chargée de l'enregistrement des sociétés et de la régulation des valeurs mobilières, et ses plateformes électroniques sont utilisées par des entreprises et des particuliers pour les déclarations et autres transactions. Cette dépendance fait de la sécurité des données des utilisateurs inscrits une préoccupation qui dépasse l'agence elle-même pour s'étendre aux entreprises et aux professionnels qui traitent avec elle.

L'incident a également été signalé à la National Privacy Commission — l'agence gouvernementale qui applique la loi philippine sur la protection des données (Data Privacy Act) et supervise le respect des règles de notification des fuites — selon des rapports concernant les notifications envoyées aux utilisateurs concernés.

Le régulateur a indiqué avoir immédiatement engagé des mesures de confinement et de prévention après la découverte de l'incident, notamment des analyses de sécurité, des vérifications d'indicateurs de compromission, des examens forensiques numériques et des analyses de journaux sur l'ensemble de ses plateformes.

« La SEC a en outre renforcé les contrôles d'accès, mis à jour les identifiants d'authentification et vérifié l'intégrité des données afin de garantir qu'aucune modification de données n'est survenue et que les actifs de données des entreprises restent sécurisés », a-t-elle déclaré.

La commission a également déployé de nouvelles mesures de protection et de surveillance conçues pour détecter les activités suspectes et empêcher tout accès non autorisé aux comptes utilisateurs. De telles étapes de vérification constituent une réponse courante lorsque des coordonnées sont exposées, car les noms et coordonnées peuvent servir à élaborer des tentatives de phishing ou d'usurpation d'identité contre les titulaires de comptes, même lorsque les identifiants de connexion sont intacts.

« La SEC poursuit une surveillance renforcée afin de détecter et de bloquer les activités de compte suspectes ou non autorisées sur l'ensemble de ses services. La Commission a également mis en place des vérifications supplémentaires pour les demandes liées aux comptes et les mises à jour de sécurité », a-t-elle déclaré.

Jusqu'à ce que la SEC achève la vérification des enregistrements concernés, l'ampleur réelle et l'origine de la fuite restent indéterminées, laissant les résultats des travaux forensiques et de l'enquête en cours comme principaux développements à suivre.

— Ashley Erika O. Jose, BusinessWorld

Source : BusinessWorld