De Securities and Exchange Commission (SEC) heeft een onderzoek en een systeembrede beveiligingsaudit gestart nadat een datalek persoonlijke gegevens had blootgesteld van gebruikers die geregistreerd zijn op haar digitale platforms.

In een verklaring van maandag zei de bedrijfstoezichthouder dat de eerste beoordeling uitwees dat geen bedrijfsgegevens of opgeslagen wachtwoorden zijn gecompromitteerd en dat de integriteit van de interne systemen intact is gebleven.

“Er zijn geen wachtwoorden gelekt en er zijn geen gegevens op enige manier gewijzigd of aangepast. De SEC verzekert het publiek dat alle interne database-infrastructuur en de systeemintegriteit intact blijven,” aldus de verklaring.

Het lek betrof persoonlijke informatie die gekoppeld is aan geregistreerde gebruikers van de digitale platforms van de SEC, waaronder namen, contactgegevens en andere accountinformatie. De commissie zei dat de oorsprong, omvang en geldigheid van de getroffen gegevens nog worden geverifieerd, en dat het nog niet heeft bekendgemaakt hoeveel gebruikers zijn getroffen of waar het lek zijn oorsprong vindt.

De SEC is het Filipijnse overheidsorgaan dat verantwoordelijk is voor bedrijfsregistratie en regulering van effecten, en zijn elektronische platforms worden door bedrijven en particulieren gebruikt voor indieningen en andere transacties. Die afhankelijkheid maakt de beveiliging van geregistreerde gebruikersgegevens tot een zorg die verder reikt dan het orgaan zelf, tot aan de bedrijven en professionals die zaken met het orgaan doen.

Het incident is ook gemeld aan de National Privacy Commission — het overheidsorgaan dat de Data Privacy Act van de Filipijnen handhaaft en toeziet op de naleving van de regels voor melding van datalekken — volgens berichten over meldingen die naar getroffen gebruikers zijn verzonden.

De toezichthouder zei dat direct na de ontdekking van het incident insluitings- en preventieve maatregelen zijn genomen, waaronder beveiligingsscans, controles op indicatoren van compromittering, digitaal forensisch onderzoek en loganalyse op haar platforms.

“De SEC heeft bovendien de toegangscontroles versterkt, authenticatiegegevens bijgewerkt en de gegevensintegriteit geverifieerd om ervoor te zorgen dat er geen gegevens zijn gewijzigd en dat de bedrijfsgegevensbestanden veilig bleven,” aldus de verklaring.

De commissie heeft daarnaast nieuwe waarborgen en monitoringsmaatregelen ingevoerd die zijn ontworpen om verdachte activiteit op te sporen en ongeautoriseerde toegang tot gebruikersaccounts te voorkomen. Verificatiestappen van dit soort zijn een gebruikelijke reactie wanneer contactgegevens worden blootgesteld, omdat namen en contactinformatie kunnen worden gebruikt voor phishing- of imitatiepogingen tegen accounthouders, zelfs wanneer inloggegevens onaangetast zijn.

“De SEC blijft verhoogde monitoring uitvoeren om verdachte of ongeautoriseerde accountactiviteit binnen haar diensten op te sporen en te blokkeren. De commissie heeft eveneens extra verificatiecontroles ingevoerd voor accountgerelateerde verzoeken en beveiligingsupdates,” aldus de verklaring.

Totdat de SEC de verificatie van de getroffen gegevens heeft afgerond, blijven de volledige omvang en de oorsprong van het lek onzeker, waardoor de resultaten van het lopende forensische werk en onderzoek de belangrijkste ontwikkelingen zijn om in de gaten te houden.

— Ashley Erika O. Jose, BusinessWorld

Bron: BusinessWorld