De Securities and Exchange Commission van de Filipijnen (SEC) heeft bekendgemaakt dat op 6 november een datasecurity-incident werd ontdekt en dat de zaak is gemeld aan de National Privacy Commission (NPC).

In haar verklaring bevestigde de toezichthouder dat bedrijfsgegevens, wachtwoorden en databases door het incident onaangetast zijn gebleven, al kan een deel van de individuele accountinformatie mogelijk zijn gecompromitteerd.

Wat de SEC zegt te hebben gevonden

De SEC heeft geen bewijs gevonden van gecompromitteerde wachtwoorden, gemanipuleerde gegevens of getroffen bedrijfsgegevens. Het advisory waarschuwde desondanks dat namen, gebruikersnamen, contactgegevens, geboortedatums, adressen en belastingidentificatienummers mogelijk zijn blootgesteld.

De autoriteiten onderzoeken de oorsprong en legitimiteit van de betreffende gegevens. De SEC verklaarde steunmaatregelen te hebben genomen en een onderzoek te zijn gestart om vast te stellen of de gerapporteerde informatie echt is, met de kanttekening dat de bron malware zou kunnen zijn, zonder al een oorzaak voor het incident aan te wijzen.

De bekendmaking volgde op een rapport van 5 november door Deep Web Konek, een Filipijnse cybersecurity-advocacygroep, die een forumvermelding signaleerde waarin 487.000 regels vermeende SEC-informatie te koop werden aangeboden.

BIR onderzoekt bewering over gelekte 340.000 regels

Het Bureau of Internal Revenue (BIR) onderzoekt een afzonderlijke bewering samen met het Cybercrime Investigation and Coordinating Center en het nationale computer emergency response team, aldus de Philippine News Agency. Een tweede forumadvertentie beweerde 340.000 regels BIR-gegevens aan te bieden. Het BIR heeft geen diefstal van belastingbetalersgegevens bevestigd; de bevindingen van het onderzoek moeten uitwijzen of de aangeboden 340.000 regels overeenkomen met een echte diefstal.

De SEC- en BIR-vermeldingen delen één detail: beide verschenen op 5 november via een account genaamd "sinigangmixwithgabi." Omdat de beweringen van hetzelfde account afkomstig zijn, kan de ene de andere niet onafhankelijk bevestigen, en de cijfers van 487.000 en 340.000 regels geven geen indicatie van hoeveel mensen zijn getroffen. De gegevens achter de beweringen zijn niet onafhankelijk geverifieerd.

De 72-uursklok van de privacytoezichthouder

Volgens de NPC zijn per 6 november geen meldingen van datalekken ontvangen over de vermeende overheidslekken. De SEC verklaarde op haar beurt dat zij de commissie over de situatie had geïnformeerd — twee verslagen van dezelfde gebeurtenissen, op verschillende momenten gegeven.

De 72-uursregel van de NPC gaat in wanneer een instantie kennis heeft van, of redelijke gronden heeft om aan te nemen, dat een meldingsplichtig datalek heeft plaatsgevonden, waarna de toezichthouder en betrokken partijen moeten worden geïnformeerd. Een online bewering vormt op zichzelf zo'n datalek niet. Of de klok loopt, hangt daarom af van wat het onderzoek van de SEC vaststelt over de authenticiteit van de gegevens, en van hoe de uiteenlopende verslagen over de melding met elkaar worden verenigd.

Een patroon dat ouder is dan deze week

Hunt.io traceerde op 6 september het kopiëren van 68,837 GiB uit 27 SQL Server-backups met bestandsnamen die overeenkomen met Filipijnse systemen voor migrerende arbeiders, al kon het bedrijf niet vaststellen hoe de toegang begon of of malware werd uitgevoerd.

Verizon onderzocht meer dan 22.000 bevestigde datalekken wereldwijd in zijn rapport van 2026, waaronder 2.410 gevallen in de publieke administratie met openbaar gemaakte gegevens. IBM schatte de gemiddelde kosten van een datalek in ASEAN op US$4,12 miljoen, of US$6,53 miljoen voor financiële dienstverlening — geen van beide cijfers is een Filipijnse schatting.

Waarom herhaalde lekken het vertrouwen in digitale overheid aantasten

Voor gebruikers van overheidsportalen vergroten mogelijk blootgestelde persoonlijke profielen het risico op gerichte oplichting, zelfs waar bedrijfsgegevens veilig blijven. De directe taak is bevestigen of de aangeboden gegevens echt zijn — met het onderzoek van de SEC, het door het BIR geleide onderzoek en elke verandering in het meldingenslogboek van de NPC als aandachtspunten.

Cyberaanvallen kunnen ook bredere financiële gevolgen hebben. Het IMF waarschuwt dat aanvallen op kritieke financiële systemen diensten kunnen verstoren en het vertrouwen in de markt kunnen ondermijnen. Tot nu toe is er echter geen vastgestelde markteffect door de Filipijnse incidenten.

Frankrijk biedt een duidelijker voorbeeld van bevestigde gegevensdiefstal: de belastingdienst gaf toe dat gegevens van belastingbetalers waren gestolen, zoals Cryptopolitan berichtte. In de Filipijnen heeft de SEC een security-incident bevestigd — maar noch de SEC noch het BIR heeft de online aangeboden hoeveelheden gegevens geverifieerd.

Bron: Cryptopolitan