Philippinische SEC-Leak stellt Behauptung eines 487K-Datenskandals infrage
-
Die philippinische SEC bestätigte am 6. November einen Vorfall mit der Datensicherheit und benachrichtigte die National Privacy Commission.
-
Namen, Kontaktdaten, Geburtsdaten, Adressen und Steuernummern könnten offengelegt worden sein, Passwörter und Unternehmensunterlagen sind jedoch unbeeinträchtigt geblieben.
-
Online-Behauptungen melden Lecks mit 487.000 SEC-Datensätzen und 340.000 BIR-Datensätzen; dies wurde unabhängig nicht verifiziert.
Die Securities and Exchange Commission of the Philippines (SEC) hat bekannt gegeben, dass am 6. November ein Vorfall im Zusammenhang mit einem Verstoß gegen die Datensicherheit entdeckt wurde. Der Vorfall wurde der National Privacy Commission (NPC) gemeldet.
In ihrer Erklärung bestätigte die SEC, dass Unternehmensakten, Passwörter sowie Datenbanken vom Vorfall nicht betroffen waren. Allerdings könnten einige Informationen einzelner Konten kompromittiert worden sein.
Was die SEC gefunden hat
Die SEC hat keine Anzeichen für kompromittierte Passwörter, manipulierte Daten oder beeinträchtigte Unternehmensaufzeichnungen gefunden. In ihrer Hinweis heißt es jedoch, dass Namen, Benutzernamen, Kontaktdaten, Geburtsdaten, Adressen und Steueridentifikationsnummern möglicherweise offengelegt wurden.
Die Behörden untersuchen derzeit die Quelle der fraglichen Daten und deren Echtheit. Die SEC hat die Vorsichtsmaßnahmen verschärft und eine Untersuchung eingeleitet, um die Glaubwürdigkeit der gemeldeten Informationen zu klären. Die Behörde hat zudem darauf hingewiesen, dass die Datenquelle möglicherweise auf Malware zurückzuführen ist, konnte die Ursache des Vorfalls jedoch nicht eindeutig bestimmen.
Unterdessen meldete die philippinische Cybersecurity-Advocacy-Gruppe Deep Web Konek am 5. November, dass ein Forumseintrag zum Verkauf von angeblich 487.000 Datensätzen aus der SEC angeboten wird.
BIR untersucht Behauptung eines 340,000-Datensatz-Lecks
Das Bureau of Internal Revenue (BIR) untersucht einen separaten Vorfall in Zusammenarbeit mit dem Cybercrime Investigation and Coordinating Center sowie dem nationalen Computer-Notfallteam, wie die Philippine News Agency berichtete. Bisher wurde kein Diebstahl von Steuerzahlerdaten bestätigt.
Eine zweite Forum-Werbung behauptete, 340.000 Datensätze des BIR anzubieten.
Die Forenlisten der SEC und der BIR haben eine Gemeinsamkeit: Beide tauchten am 5. November über den Account „sinigangmixwithgabi“ auf. Da die Ansprüche von demselben Account stammen, ist es unmöglich, diese unabhängig voneinander zu bestätigen. Die Zahlen von 487.000 und 340.000 Datensätzen geben zudem keinen Aufschluss darüber, wie viele Personen betroffen sind. Die hinter den Behauptungen stehenden Daten wurden für diesen Artikel nicht unabhängig verifiziert.
Die Uhr des Datenschutzregulators mit 72 Stunden
Laut der NPC wurden bis zum 6. November keine Benachrichtigungen über Verstöße im Zusammenhang mit den behaupteten staatlichen Datenlecks erhalten. Die SEC gab an, die NPC über die Lage informiert zu haben. Diese beiden Darstellungen des Sachverhalts wurden zu unterschiedlichen Zeitpunkten gemacht.
Die 72-Stunden-Frist der NPC tritt in Kraft, wenn eine Behörde Kenntnis hat oder vernünftige Gründe für die Annahme besteht, dass ein meldepflichtiger Vorfall vorliegt. Anschließend sind die Behörde und die betroffenen Parteien zu benachrichtigen. Eine Online-Beschuldigung stellt für sich allein genommen keinen solchen Vorfall dar.
Ein Muster, das auf diese Woche zurückgeht
Hunt.io verfolgte die Kopie von 68,837 GiB aus 27 SQL-Server-Sicherungsdateien vom 6. September, deren Dateinamen mit philippinischen Systemen für Migrantenarbeiter übereinstimmten. Das Unternehmen konnte nicht feststellen, wie der Zugriff begann oder ob Malware ausgeführt wurde.
Verizon untersuchte in seinem Bericht 2026 mehr als 22.000 bestätigte Vorfälle weltweit, darunter 2.410 Fälle im öffentlichen Sektor mit offengelegten Daten. IBM bezifferte die durchschnittlichen Kosten von Datenschutzverletzungen in ASEAN auf 4,12 Millionen US-Dollar bzw. 6,53 Millionen US-Dollar im Finanzsektor. Keine dieser Angaben ist eine Schätzung der Verluste auf den Philippinen.
Warum wiederholte Lecks das Vertrauen in die digitale Regierung untergraben
Für Nutzer von Regierungsportalen bergen potenziell exponierte Profile Risiken gezielter Betrugsversuche, selbst wenn die Unternehmensdaten sicher bleiben. Entscheidend ist nun die Bestätigung, ob die beworbenen Datensätze echt sind.
Cyberangriffe können weiterreichende finanzielle Folgen haben. Das IWF warnt, dass Angriffe auf kritische Finanzsysteme Dienstleistungen stören und das Marktvertrauen untergraben können. Bisher gibt es jedoch keine nachgewiesenen Marktauswirkungen durch die Vorfälle auf den Philippinen.
Frankreich bietet ein klareres Beispiel für einen bestätigten Datenklau. Die französische Steuerbehörde gab bekannt, dass Aufzeichnungen von Steuerzahlern gestohlen wurden, wie Cryptopolitan berichtete. In den Philippinen hat die SEC einen Sicherheitsvorfall bestätigt, weder die SEC noch die BIR haben jedoch die im Internet beworbenen Datenmengen verifiziert.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Was hat die philippinische SEC bei ihrem 6-Vorfall festgestellt?
Die SEC gab an, dass erste Überprüfungen keine kompromittierten Firmenunterlagen, geleakten Passwörter oder veränderte Daten ergaben, aber die mögliche Exposition individueller Profilinformationen wird weiterhin überprüft.
Ist die 340,000-BIR-Zahl ein bestätigter Sicherheitsvorfall?
Nein. Sie stammt aus einer nicht überprüften Behauptung eines Threat Actors unter dem Alias „sinigangmixwithgabi“, die am 5. November in einem Cybercrime-Forum gepostet wurde, und das BIR hat nicht bestätigt, dass Steuerzahlerdaten gestohlen wurden.
Was verlangt die 72-Stunde des NPC?
Gemäß NPC Circular No. 16-03 muss ein Datenverantwortlicher die National Privacy Commission und die betroffenen Personen innerhalb von 72 Stunden nach Kenntnisnahme oder vernünftiger Annahme informieren, dass ein meldepflichtiger Verstoß gegen den Schutz personenbezogener Daten vorliegt.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Ashish Kumar
Ashish Kumar ist ein Krypto- und Finanzjournalist mit acht Jahren Erfahrung in der Nachrichtenredaktion. Er berichtet über Entwicklungen in den Kryptomärkten, Regulierungen, DeFi und Ökosysteme von Börsen. Er arbeitete für Coingape, Todayq und Newsroompost. Ashish besitzt einen PGDP in englischer Journalistik vom IIMC. Zudem interviewte er Branchenexperten wie Arthur Hayes, Yat Siu, Austin Federa und weitere.
