フィリピン証券取引委員会(SEC)は、11月6日にデータセキュリティ事故が発覚し、国家プライバシー委員会(NPC)に報告したことを明らかにした。

声明の中で規制当局は、会社の記録、パスワード、データベースはこの事故の影響を受けていないことを確認した一方、一部の個人のアカウント情報が漏えいした可能性があるとしている。

SECが確認したこと

SECは、パスワードの漏えい、データの改ざん、会社の記録への影響を示す証拠は見つかっていないとしている。しかしお知らせでは、氏名、ユーザー名、連絡先情報、生年月日、住所、納税者識別情報が露出した可能性があると注意を促している。

当局は、問題のデータの出所と真正性を調査している。SECは予防措置を強化し、報告された情報が本物かどうかを確認するための調査を開始したと述べ、その出所はマルウェアである可能性があるとしつつも、事故の原因の特定には至っていない。

この公表に先立ち、フィリピンのサイバーセキュリティ啓発団体Deep Web Konekが11月5日、SECの情報とされる487,000行の販売を掲げたフォーラムの出品を指摘していた。

BIR、340,000行のリーク主張を調査

内国収入庁(BIR)は、サイバー犯罪調査調整センターおよび国家コンピュータ緊急対応チームとともに別の主張を調査中であると、Philippine News Agencyが報じた。2つ目のフォーラム出品は、BIRのデータ340,000行を提供すると主張していた。BIRは納税者データの窃取を確認しておらず、調査の結果が、出品された340,000行が実際の窃取に該当するかどうかを左右する。

SECとBIRの掲載には共通点がある。両方とも11月5日、「sinigangmixwithgabi」というアカウントを通じて投稿されたのだ。主張が同一アカウントによるものであるため、どちらが他方を独立して裏付けることもできず、487,000行と340,000行という数字からは、何人が影響を受けたのかも分からない。主張の背後にあるデータは独立した検証を受けていない。

プライバシー規制当局の72時間ルール

NPCによれば、11月6日時点で、これらの政府機関リークの疑いに関する漏えい通知は届いていない。一方SECは、NPCに状況を報告したと述べており、2つの説明は異なる時点で述べられたものである。

NPCの72時間ルールは、機関が通知を要する漏えいが発生したことを把握した、またはその合理的根拠があると判断した時点で作動し、その時点で規制当局と影響を受けた当事者への通知が求められる。ネット上の主張だけでは、それ自体がこうした漏えいに該当するわけではない。したがって、カウントが始まっているかどうかは、SECの調査がデータの真正性について何を明らかにするか、そして通知をめぐる食い違う説明がどう整合されるかにかかっている。

今週より前からあったパターン

Hunt.ioは、9月6日にフィリピンの出稼ぎ労働者システムと一致するファイル名を持つ27個のSQL Serverバックアップから68.837 GiBがコピーされたことを追跡したが、アクセスがどのように始まったのか、マルウェアが実行されたのかは特定できていない。

Verizonは2026年の報告書で、世界で確認された22,000件を超える漏えい事例を検証しており、そのうち公開データを伴う公共行政の事例は2,410件だった。IBMはASEAN地域の平均漏えいコストを412万米ドル、金融サービスでは653万米ドルと試算しているが、いずれもフィリピンの損失見積もりではない。

繰り返されるリークがデジタル政府への信頼を損なう理由

政府ポータルの利用者にとって、露出した可能性のある個人プロフィールは、企業データが安全であっても、標的型詐欺のリスクを高める。今、重要なのは、出品された記録が本物かどうかの確認であり、SECの調査、BIR主導の捜査、NPCの通知記録の変化が注目すべき指標となる。

サイバー攻撃はより広範な金融的影響をもたらしうる。IMFは、重要な金融システムへの攻撃がサービスを混乱させ、市場の信頼を損ないうると警告している。ただし現時点で、フィリピンの事故による市場への影響は確認されていない。

フランスは、確認されたデータ窃取のより明確な事例を提供している。同国の税務当局は納税者記録が盗まれたことを認めており、Cryptopolitanが報じた通りである。フィリピンでは、SECがセキュリティ事故を確認しているものの、SECもBIRも、ネットで出品されたデータの量は検証していない。

出典:Cryptopolitan