La Securities and Exchange Commission (SEC) ha avviato un'indagine e un audit di sicurezza su tutta la sistema dopo che un data breach ha esposto informazioni personali appartenenti agli utenti registrati sulle sue piattaforme digitali.

In una dichiarazione diffusa lunedì, il regolatore societario ha dichiarato che la valutazione iniziale ha accertato che nessun record aziendale o password archiviata era stato compromesso e che l'integrità dei sistemi interni era rimasta intatta.

"Nessuna password è stata divulgata e nessun dato è stato modificato o alterato in alcun modo. La SEC garantisce al pubblico che tutta l'infrastruttura dei database interni e l'integrità dei sistemi restano intatte", ha affermato l'ente.

La violazione ha riguardato informazioni personali collegate agli utenti registrati delle piattaforme digitali della SEC, tra cui nomi, dati di contatto e altre informazioni account. La commissione ha dichiarato di essere ancora impegnata nella verifica dell'origine, dell'ambito e della validità dei record interessati, e non ha ancora comunicato quanti utenti siano stati coinvolti né da dove abbia avuto origine la violazione.

La SEC è l'agenzia governativa filippina responsabile della registrazione delle società e della regolamentazione dei titoli, e le sue piattaforme elettroniche sono utilizzate da imprese e privati per adempimenti e altre operazioni. Questa dipendenza rende la sicurezza dei dati degli utenti registrati una questione che va oltre l'agenzia stessa, coinvolgendo le aziende e i professionisti che vi transgono.

L'incidente è stato inoltre segnalato alla National Privacy Commission — l'agenzia governativa che applica la Data Privacy Act filippina e vigila sul rispetto delle regole di notifica delle violazioni — secondo quanto riportato nelle comunicazioni inviate agli utenti interessati.

Il regolatore ha dichiarato di aver immediatamente avviato misure di contenimento e prevenzione dopo la scoperta dell'incidente, tra cui scansioni di sicurezza, controlli degli indicatori di compromissione, analisi forensi digitali e analisi dei log su tutte le sue piattaforme.

"La SEC ha inoltre rafforzato i controlli degli accessi, aggiornato le credenziali di autenticazione e verificato l'integrità dei dati per garantire che non si siano verificate modifiche ai dati e che gli asset dati aziendali rimanessero protetti", ha dichiarato l'ente.

La commissione ha inoltre introdotto nuove salvaguardie e misure di monitoraggio concepite per rilevare attività sospette e prevenire accessi non autorizzati agli account degli utenti. Passaggi di verifica di questo tipo sono una risposta comune quando i dati di contatto vengono esposti, poiché nomi e informazioni di contatto possono essere utilizzati per preparare tentativi di phishing o impersonificazione contro i titolari degli account, anche quando le credenziali di accesso non sono state toccate.

"La SEC continua a svolgere un monitoraggio intensificato per rilevare e bloccare attività sospette o non autorizzate degli account su tutti i suoi servizi. La Commissione ha inoltre implementato ulteriori controlli di verifica per le richieste relative agli account e gli aggiornamenti di sicurezza", ha dichiarato l'ente.

Finché la SEC non completerà la verifica dei record interessati, l'intera portata e l'origine della violazione rimarranno indeterminate, lasciando gli esiti del lavoro forense e dell'indagine in corso come sviluppi chiave da seguire.

— Ashley Erika O. Jose, BusinessWorld

Fonte: BusinessWorld