菲律賓證券交易委員會(SEC)揭露,一起資安事件於11月6日被發現,且已向國家隱私委員會(NPC)通報。

該監管機構在聲明中確認,公司紀錄、密碼與資料庫均未受該事件影響,但部分個人帳戶資訊可能已遭洩露。

SEC 表示查到什麼

SEC 並未發現密碼遭破解、資料遭竄改或公司紀錄受影響的任何證據。不過其公告仍提醒,姓名、使用者名稱、聯絡資料、出生日期、住址與納稅人身分資訊可能已經外洩。

相關當局正調查該批資料的來源與真實性。SEC 表示已加強防範措施,並展開調查以確認所報導的資訊是否屬實,同時指出資料來源可能是惡意軟體,但尚未確定事件成因。

在此次揭露之前,菲律賓網路安全倡議組織 Deep Web Konek 於11月5日通報,有論壇刊載出售48.7萬行據稱來自SEC資料的訊息。

國稅局調查 34 萬行資料外洩宣稱

據菲律賓通訊社報導,國稅局(BIR)正與網路犯罪調查暨協調中心及國家電腦緊急應變小組一同調查另一項宣稱。第二則論壇廣告宣稱持有34萬行BIR資料。BIR 尚未確認任何納稅人資料遭竊;調查結果將決定所宣稱的34萬行資料是否對應實際竊取行為。

SEC 與 BIR 的論壇刊載有一項共同點:兩者皆於11月5日透過名為「sinigangmixwithgabi」的帳號發布。由於兩項宣稱出自同一帳號,彼此無法獨立佐證,且48.7萬與34萬行的數字也無法顯示有多少人受影響。相關宣稱背後的資料尚未經獨立查證。

隱私監管機構的 72 小時時鐘

據 NPC 表示,截至11月6日,並未接獲有關所稱政府資料外洩的通報。SEC 則表示已向該委員會通報情況——這是兩個在不同時間提出的說法。

NPC 的72小時規則,是在機關知悉或有合理理由相信發生須通報的資料外洩事件時啟動,屆時監管機構與受影響各方均須獲得通報。單憑網路上的指控,並不構成此類外洩事件。時鐘是否已開始運轉,取決於SEC調查對資料真實性的認定,以及雙方對通報經過的不同說法如何釐清。

早於本週的洩露模式

Hunt.io 追蹤到9月6日自27個 SQL Server 備份複製68.837 GiB 的行為,其檔名與菲律賓海外移工系統相符,惟該公司無法確定存取如何開始,也無法確定是否運行了惡意軟體。

Verizon 在其2026年報告中檢視了全球逾22,000起經證實的資料外洩事件,其中包含2,410起涉及資料揭露的公共行政案例。IBM 則估計東協地區平均資料外洩成本為412萬美元,金融服務業為653萬美元——兩者均非菲律賓的損失估算。

反覆外洩為何削弱數位政府信任

對政府入口網站的使用者而言,個人資料可能外洩會增加遭精準詐騙的風險,即使企業資料仍然安全。當務之急是確認所販售的資料是否真實——SEC 的調查、BIR 主導的偵辦,以及 NPC 通報紀錄的任何變化,都是值得關注的指標。

網路攻擊也可能帶來更廣泛的金融後果。IMF 警告,針對關鍵金融系統的攻擊可能擾亂服務並削弱市場信心。不過迄今為止,菲律賓這些事件尚未對市場造成確定的影響。

法國提供了經證實資料竊取的更明確案例:該國稅務機關承認納稅人紀錄遭竊,Cryptopolitan 曾報導。在菲律賓,SEC 已確認發生資安事件——但 SEC 與 BIR 均未證實網路上所宣稱的資料數量。

來源:Cryptopolitan