Filipińska Komisja Papierów Wartościowych i Giełd (SEC) ujawniła, że 6 listopada wykryto incydent naruszenia bezpieczeństwa danych, a sprawa została zgłoszona Krajowej Komisji Ochrony Prywatności (NPC).

W swoim oświadczeniu regulator potwierdził, że rejestry spółek, hasła oraz bazy danych pozostały nienaruszone, choć część informacji o kontach indywidualnych mogła zostać naruszona.

Co według SEC wykryto

SEC nie znalazła żadnych dowodów na naruszenie haseł, zmodyfikowanie danych ani wpływ na rejestry spółek. Jej komunikat ostrzegł jednak, że imiona i nazwiska, nazwy użytkowników, dane kontaktowe, daty urodzenia, adresy oraz numery identyfikacji podatkowej mogły zostać ujawnione.

Organy śledcze badają pochodzenie i autentyczność danych, o których mowa. SEC oświadczyła, że wzmocniła środki ostrożności i wszczęła postępowanie mające ustalić, czy zgłoszone informacje są autentyczne, wskazując, że źródłem mogło być złośliwe oprogramowanie, choć nie zidentyfikowano przyczyny incydentu.

Ujawnienie nastąpiło po opublikowanym 5 listopada raporcie Deep Web Konek, filipińskiej grupy zajmującej się cyberbezpieczeństwem, która zasygnalizowała wpis na forum oferujący do sprzedaży 487 tys. linii rzekomych danych SEC.

BIR bada twierdzenie o wycieku 340 tys. linii

Biuro Skarbowości (BIR) bada oddzielne twierdzenie we współpracy z Centrum Badania Cyberprzestępczości i Koordynacji oraz krajowym zespołem reagowania na sytuacje kryzysowe komputerowe — poinformowała Philippine News Agency. Drugie ogłoszenie na forum twierdziło, że oferuje 340 tys. linii danych BIR. BIR nie potwierdził kradzieży danych podatników; wyniki śledztwa przesądzą, czy reklamowane 340 tys. linii odpowiada rzeczywistej kradzieży.

Oferty SEC i BIR łączy jeden szczegół: obie pojawiły się 5 listopada za pośrednictwem konta o nazwie "sinigangmixwithgabi." Ponieważ oba twierdzenia pochodzą z tego samego konta, żadne z nich nie może niezależnie potwierdzić drugiego, a liczby 487 tys. i 340 tys. linii nie mówią nic o tym, ilu ludzi dotknęła sprawa. Dane stojące za twierdzeniami nie zostały niezależnie zweryfikowane.

72-godzinny zegar regulatora prywatności

Według NPC do 6 listopada nie otrzymano żadnych zgłoszeń naruszeń dotyczących rzekomych wycieków danych rządowych. SEC z kolei oświadczyła, że poinformowała komisję o sytuacji — dwie relacje wydarzeń wydane w różnym czasie.

Reguła 72 godzin NPC wchodzi w życie, gdy urząd ma wiedzę lub rozsądne podstawy, by sądzić, że doszło do naruszenia wymagającego zgłoszenia, i wówczas regulator oraz osoby dotknięte sprawą muszą zostać powiadomione. Samo oskarżenie w internecie nie stanowi takiego naruszenia. Czy zegar więc tyka, zależy od tego, co postępowanie SEC ustali o autentyczności danych oraz od tego, jak rozbieżne relacje dotyczące zgłoszenia zostaną uzgodnione.

Wzorzec starszy niż ten tydzień

Hunt.io prześledziło skopiowanie 68,837 GiB z 27 kopii zapasowych SQL Server 6 września, z nazwami plików odpowiadającymi systemom dla filipińskich pracowników migrujących, choć firma nie ustaliła, jak uzyskano dostęp ani czy uruchomiono złośliwe oprogramowanie.

Verizon zbadała w swoim raporcie za 2026 rok ponad 22 000 potwierdzonych naruszeń na świecie, w tym 2410 przypadków w administracji publicznej z ujawnionymi danymi. IBM oszacował średnie koszty naruszeń w ASEAN na 4,12 mln USD, a w usługach finansowych na 6,53 mln USD — żadna z tych liczb nie jest szacunkiem strat dla Filipin.

Dlaczego powtarzające się wycieki podważają zaufanie do cyfrowej administracji

Dla użytkowników portali rządowych potencjalnie ujawnione profile osobiste zwiększają ryzyko ukierunkowanych oszustw, nawet tam, gdzie dane korporacyjne pozostają bezpieczne. Najpilniejszym zadaniem jest potwierdzenie, czy reklamowane rejestry są autentyczne — przy czym wskaźnikami do obserwacji są postępowanie SEC, śledztwo prowadzone przez BIR oraz ewentualne zmiany w rejestrze zgłoszeń NPC.

Cyberataki mogą też mieć szersze konsekwencje finansowe. MFW ostrzega, że ataki na krytyczne systemy finansowe mogą zakłócić usługi i podważyć zaufanie do rynku. Dotychczas jednak nie stwierdzono wpływu filipińskich incydentów na rynki.

Francja stanowi jaśniejszy przykład potwierdzonej kradzieży danych: jej urząd skarbowy przyznał, że skradziono rejestry podatników, jak relacjonował Cryptopolitan. Na Filipinach SEC potwierdziła incydent bezpieczeństwa — ale ani SEC, ani BIR nie zweryfikowały ilości danych reklamowanych w internecie.

Źródło: Cryptopolitan