La Securities and Exchange Commission delle Filippine (SEC) ha reso noto che un incidente di sicurezza dei dati è stato rilevato il 6 novembre e che la questione è stata segnalata alla National Privacy Commission (NPC).

Nella sua dichiarazione, il regolatore ha confermato che record aziendali, password e database non sono stati coinvolti nell'incidente, anche se alcune informazioni di singoli account potrebbero essere state compromesse.

Cosa dichiara di aver riscontrato la SEC

La SEC non ha trovato prove di password compromesse, dati manomessi o record aziendali interessati. Il suo comunicato ha tuttavia avvertito che nomi, nomi utente, dati di contatto, date di nascita, indirizzi e identificativi fiscali potrebbero essere stati esposti.

Le autorità stanno indagando sull'origine e sull'autenticità dei dati in questione. La SEC ha dichiarato di aver rafforzato le misure di precauzione e di aver avviato un'indagine per accertare se le informazioni segnalate siano autentiche, osservando che la fonte potrebbe essere un malware, senza però identificare la causa dell'incidente.

La comunicazione è seguita a un rapporto del 5 novembre di Deep Web Konek, un gruppo filippino di sensibilizzazione sulla cybersecurity, che ha segnalato un annuncio su un forum che offriva in vendita 487.000 righe di presunte informazioni della SEC.

Il BIR indaga sulla pretesa di un leak da 340.000 righe

Il Bureau of Internal Revenue (BIR) sta indagando su una pretesa distinta insieme al Cybercrime Investigation and Coordinating Center e al team nazionale di risposta alle emergenze informatiche, come riportato dalla Philippine News Agency. Un secondo annuncio sul forum sosteneva di offrire 340.000 righe di dati del BIR. Il BIR non ha confermato alcun furto di dati di contribuenti; gli esiti dell'indagine determineranno se le 340.000 righe pubblicizzate corrispondano a un furto effettivo.

Gli annunci relativi alla SEC e al BIR hanno un dettaglio in comune: entrambi sono comparsi il 5 novembre tramite un account chiamato "sinigangmixwithgabi." Poiché le pretese provengono dallo stesso account, nessuna delle due può confermare indipendentemente l'altra, e le cifre di 487.000 e 340.000 righe non indicano quante persone siano state interessate. I dati alla base delle pretese non sono stati verificati in modo indipendente.

Il countdown di 72 ore del regolatore della privacy

Secondo la NPC, al 6 novembre non erano state ricevute segnalazioni di violazioni riguardo ai presunti leak governativi. La SEC, da parte sua, ha dichiarato di aver informato la commissione sulla situazione — due versioni degli eventi diffuse in momenti diversi.

La regola delle 72 ore della NPC si attiva quando un ente è a conoscenza, o ha motivi ragionevoli di ritenere, che si sia verificata una violazione da segnalare, momento in cui il regolatore e le parti interessate devono essere informati. Una semplice accusa online, di per sé, non costituisce tale violazione. Se il countdown sia effettivamente in corso dipende quindi da ciò che l'indagine della SEC accertará sull'autenticità dei dati e da come le versioni contrastanti della notifica verranno riconciliate.

Uno schema che precede questa settimana

Hunt.io ha ricostruito la copiatura del 6 settembre di 68.837 GiB da 27 backup di SQL Server con nomi di file corrispondenti a sistemi per lavoratori migranti filippini, sebbene l'azienda non sia riuscita a stabilire come fosse iniziato l'accesso né se fosse stato eseguito un malware.

Verizon ha esaminato oltre 22.000 violazioni confermate a livello mondiale nel suo report 2026, di cui 2.410 casi di pubblica amministrazione con dati esposti. IBM ha stimato i costi medi delle violazioni nell'ASEAN in 4,12 milioni di dollari statunitensi, o 6,53 milioni per i servizi finanziari — nessuna delle due cifre è una stima delle perdite per le Filippine.

Perché leak ripetuti erodono la fiducia nel governo digitale

Per gli utenti dei portali governativi, profili personali potenzialmente esposti aumentano il rischio di truffe mirate, anche laddove i dati aziendali restino al sicuro. Il compito immediato è confermare se i record pubblicizzati siano autentici — con l'indagine della SEC, l'indagine guidata dal BIR e ogni variazione nel registro delle segnalazioni della NPC come indicatori da monitorare.

Gli attacchi informatici possono anche comportare conseguenze finanziarie più ampie. L'FMI avverte che gli attacchi ai sistemi finanziari critici possono interrompere i servizi e minare la fiducia dei mercati. Finora, tuttavia, non vi è alcun impatto accertato sui mercati derivante dagli incidenti filippini.

La Francia offre un esempio più chiaro di furto di dati confermato: la sua autorità fiscale ha riconosciuto che i record dei contribuenti erano stati rubati, come riportato da Cryptopolitan. Nelle Filippine, la SEC ha confermato un incidente di sicurezza — ma né la SEC né il BIR hanno verificato le quantità di dati pubblicizzate online.

Fonte: Cryptopolitan