証券取引委員会（SEC）は、デジタルプラットフォームに登録した利用者の個人情報が流出したデータ侵害を受けて、調査およびシステム全体のセキュリティ監査を開始した。

当局は月曜日の声明で、初期評価の結果、企業記録や保存されたパスワードに侵害はなく、内部システムの完全性も維持されていると述べた。

「パスワードは漏洩しておらず、データも一切改変されていません。SECは、内部データベースインフラとシステムの完全性が維持されていることを市民に保証します」と当局は述べた。

今回の侵害では、SECのデジタルプラットフォームに登録した利用者に紐づく個人情報、具体的には氏名、連絡先、その他のアカウント情報が関わっていた。当局は依然として対象記録の出所、範囲、有効性を検証中であり、影響を受けた利用者数や漏洩の出所はまだ公表していない。

SECは、企業登録および有価証券規制を担当するフィリピンの政府機関であり、その電子プラットフォームは企業や個人が届出やその他の取引に利用している。このため、登録利用者データのセキュリティは、当局にとどまらず、取引を行う企業や専門家にとっても関心事項となっている。

この一件はまた、国民プライバシー委員会――フィリピンのデータプライバシー法を執行し、侵害通知ルールの遵守を監督する政府機関――に報告されており、影響を受けた利用者への通知に関する報道で明らかになった。

当局は、事件を発見した後、直ちにセキュリティスキャン、侵害指標の確認、デジタルフォレンジック調査、各プラットフォームのログ分析など、封じ込めおよび予防措置を開始したと述べた。

「SECはさらにアクセス制御を強化し、認証情報を更新し、データの完全性を検証して、データの改変が発生していないことと企業データ資産の安全性を確保しました」と当局は述べた。

当局はさらに、不審な活動を検知し利用者アカウントへの不正アクセスを防ぐための新たな保護措置と監視措置を導入した。この種の確認手続きは、連絡先情報が流出した場合に一般的な対応である。氏名や連絡先情報は、ログイン認証情報が侵害されていなくても、アカウント保有者に対するフィッシングやなりすましの試みに悪用され得るためだ。

「SECは引き続き高度な監視を実施し、各サービスにおける不審なまたは不正なアカウント活動を検知・遮断します。当局はまた、アカウント関連の要求やセキュリティ更新に対して追加の確認チェックを実施しています」と当局は述べた。

SECによる対象記録の検証が完了するまで、侵害の全容と出所は未確定のままであり、進行中のフォレンジック調査と捜査の結果が今後注目すべき展開となる。

— Ashley Erika O. Jose、BusinessWorld

出典: BusinessWorld