Komisja Papierów Wartościowych i Giełd (SEC) wszczęła dochodzenie oraz audyt bezpieczeństwa całego systemu po wycieku danych, który ujawnił dane osobowe użytkowników zarejestrowanych na jej platformach cyfrowych.

W oświadczeniu wydanym w poniedziałek regulator korporacyjny poinformował, że wstępna ocena nie wykazała naruszenia rekordów firmowych ani przechowywanych haseł, a integralność systemów wewnętrznych pozostała nienaruszona.

„Żadne hasła nie wyciekły, a żadne dane nie zostały zmodyfikowane ani zmienione w jakikolwiek sposób. SEC zapewnia opinię publiczną, że cała infrastruktura wewnętrznych baz danych i integralność systemów pozostają nienaruszone” — oświadczyła.

Wyciek dotyczył danych osobowych powiązanych z zarejestrowanymi użytkownikami platform cyfrowych SEC, w tym imion i nazwisk, danych kontaktowych oraz innych informacji o kontach. Komisja poinformowała, że nadal weryfikuje pochodzenie, zakres i ważność dotkniętych rekordów, a dotąd nie ujawniła liczby poszkodowanych użytkowników ani źródła wycieku.

SEC to filipińska agencja rządowa odpowiedzialna za rejestrację spółek i regulację rynku papierów wartościowych, a jej platformy elektroniczne są wykorzystywane przez firmy i osoby prywatne do składania dokumentów i innych transakcji. Ta zależność sprawia, że bezpieczeństwo danych zarejestrowanych użytkowników jest kwestią wykraczającą poza samą agencję — dotyczy również firm i profesjonalistów, którzy z nią współpracują.

Zdarzenie zostało również zgłoszone Krajowej Komisji Ochrony Danych Prywatnych — agencji rządowej egzekwującej filipińską ustawę o ochronie danych osobowych i nadzorującej zgodność z zasadami powiadamiania o naruszeniach — według doniesień o powiadomieniach wysłanych do poszkodowanych użytkowników.

Regulator poinformował, że po wykryciu zdarzenia natychmiast wdrożył środki powstrzymujące i zapobiegawcze, w tym skany bezpieczeństwa, sprawdzanie wskaźników kompromitacji, cyfrowe badania kryminalistyczne oraz analizy logów na swoich platformach.

„SEC dodatkowo wzmocniła kontrolę dostępu, zaktualizowała dane uwierzytelniające i zweryfikowała integralność danych, aby zapewnić, że nie doszło do ich modyfikacji, a korporacyjne zasoby danych pozostały bezpieczne” — oświadczyła.

Komisja wprowadziła ponadto nowe zabezpieczenia i środki monitoringu mające wykrywać podejrzane działania i zapobiegać nieautoryzowanemu dostępowi do kont użytkowników. Takie kroki weryfikacyjne są typową reakcją w sytuacji, gdy ujawnione zostaną dane kontaktowe, ponieważ imiona i nazwiska oraz dane kontaktowe mogą posłużyć do przygotowania prób phishingu lub podszywania się pod posiadaczy kont, nawet jeśli dane logowania pozostały nietknięte.

„SEC nadal prowadzi zaostrzony monitoring w celu wykrywania i blokowania podejrzanych lub nieautoryzowanych działań na kontach w swoich usługach. Komisja wdrożyła również dodatkowe weryfikacje przy zgłoszeniach dotyczących kont i aktualizacjach zabezpieczeń” — oświadczyła.

Do czasu zakończenia przez SEC weryfikacji dotkniętych rekordów pełny zakres i pochodzenie wycieku pozostają nieustalone, a kluczowymi wydarzeniami do obserwacji są wyniki trwających prac kryminalistycznych i dochodzenia.

— Ashley Erika O. Jose, BusinessWorld

Źródło: BusinessWorld