La faille de la SEC philippine met en doute l'affirmation d'une fuite record de 487K
-
La SEC philippine a confirmé un incident de sécurité des données le 6 novembre et a informé la Commission nationale de la protection des données (NPC).
-
Les noms, coordonnées, dates de naissance, adresses et numéros d'identification fiscale ont potentiellement été exposés, mais les mots de passe et les dossiers des entreprises restent intacts.
-
Des allégations en ligne font état de fuites impliquant 487 000 dossiers de la SEC et 340 000 dossiers de la BIR ; aucune de ces affirmations n'a été vérifiée de manière indépendante.
La Securities and Exchange Commission des Philippines (SEC) a divulgué qu'un incident concernant une violation de la sécurité des données avait été découvert le 6 novembre. Elle a signalé cet incident à la National Privacy Commission (NPC).
Dans leur déclaration, la SEC a confirmé que les dossiers de l'entreprise, les mots de passe et les bases de données sont restés intacts suite à l'incident. Toutefois, certaines informations relatives aux comptes individuels auraient pu être compromises.
Ce que la SEC affirme avoir découvert
La SEC n'a trouvé aucune preuve de mots de passe compromis, de données altérées ou de dossiers d'entreprise affectés. Cependant, son avisindique que les noms, noms d'utilisateur, coordonnées, dates de naissance, adresses et numéros d'identification fiscale ont pu être exposés.
Les autorités enquêtent actuellement sur l'origine des données en question et leur légitimité. La SEC a renforcé ses mesures de précaution et lancé une enquête pour clarifier la légitimité des informations signalées. L'agence a également noté la possibilité que la source des données soit un logiciel malveillant, mais n'a pas pu déterminer la cause exacte de l'incident.
En attendant, Deep Web Konek, un groupe philippin de plaidoyer pour la cybersécurité, a signalé le 5 novembre qu'une entrée sur un forum proposait à la vente 487 000 lignes d'allégées informations provenant de la SEC.
La BIR enquête sur une allégation de fuite de 340,000 lignes
Le Bureau des impôts internes (BIR) enquête sur une réclamation distincte en collaboration avec le Cybercrime Investigation and Coordinating Center et l'équipe nationale de réponse aux urgences informatiques, a rapporté l'Agence philippine d'information. Il n'a confirmé aucun vol de données fiscales.
Une seconde annonce sur un forum prétendait proposer 340 000 lignes de données du BIR.
Les listes de forums de la SEC et de la BIR présentent une similitude : elles sont toutes deux apparues le 5 novembre via le compte « sinigangmixwithgabi ». Étant donné que les affirmations proviennent du même compte, il est impossible de confirner l'une ou l'autre indépendamment. Les chiffres de 487 000 et 340 000 lignes ne permettent pas non plus d'estimer le nombre de personnes concernées. Les données sous-tendant ces affirmations n'ont pas été vérifiées de manière indépendante aux fins de cet article.
Le compte à rebours de 72 heures du régulateur de la vie privée
Selon la NPC, aucune notification de violation n’a été reçue concernant les fuites gouvernementales présumées au 6 novembre. La SEC a indiqué qu’elle avait informé la NPC de la situation. Ces deux versions des événements ont été communiquées à des moments différents.
Le délai de 72 heures de la NPC s’applique lorsqu’une agence a connaissance ou des motifs raisonnables de croire qu’une violation nécessitant une notification s’est produite. L’agence et les parties concernées doivent alors être notifiées. Une allégation en ligne ne constitue pas à elle seule une telle violation.
Un schéma qui précède cette semaine
Hunt.io a retracé la copie du 6 septembre de 68,837 GiB à partir de 27 sauvegardes SQL Server dont les noms de fichiers correspondaient aux systèmes des travailleurs migrants philippins. L’entreprise n’a pas pu établir comment l’accès a été obtenu ni si un logiciel malveillant a été exécuté.
Verizon a examiné plus de 22 000 violations confirmées dans le monde entier dans son rapport 2026, dont 2 410 cas d’administration publique impliquant des données divulguées. IBM a estimé à 4,12 millions de dollars US le coût moyen des violations en ASEAN, ou 6,53 millions de dollars US pour les services financiers. Aucun de ces chiffres ne constitue une estimation des pertes aux Philippines.
Pourquoi les fuites répétées érodent la confiance dans le gouvernement numérique
Pour les utilisateurs des portails gouvernementaux, l'exposition potentielle de profils soulève des risques d'arnaques ciblées, même si les données de l'entreprise restent sécurisées. L'essentiel est désormais de confirmer si les fichiers annoncés sont authentiques.
Les cyberattaques peuvent avoir des conséquences financières plus étendues. Le FMI met en garde contre le fait que les attaques visant les systèmes financiers critiques peuvent perturber les services et ébranler la confiance sur les marchés. À ce jour, toutefois, aucun impact de marché n'a été établi suite aux incidents aux Philippines.
La France offre un exemple plus clair de vol de données confirmé. Son administration fiscale a reconnu que les dossiers des contribuables avaient été dérobés, comme l'Cryptopolitan l'a rapporté. Aux Philippines, la SEC a confirmé un incident de sécurité, mais ni la SEC ni la BIR n'ont vérifié les volumes de données annoncés en ligne.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Que a trouvé la SEC philippine lors de son incident du 6 ?
La SEC a indiqué que les vérifications initiales n'ont révélé aucun enregistrement d'entreprise compromis, aucun mot de passe divulgué ni aucune donnée altérée, mais une exposition possible des informations de profil individuel reste en cours de vérification.
Le chiffre de 340,000 lignes du BIR correspond-il à une violation confirmée ?
Non. Il provient d'une affirmation non vérifiée d'un acteur malveillant utilisant le pseudonyme « sinigangmixwithgabi », publiée sur un forum de cybercriminalité le 5 novembre, et le BIR n'a confirmé qu'aucune donnée fiscale n'a été volée.
Que exige la règle des 72 heures de la NPC ?
Conformément au Cerculaire No 16-03 de la NPC, un responsable du traitement des données doit notifier la Commission nationale de la confidentialité (NPC) et les personnes concernées dans un délai de 72 heures après avoir eu connaissance, ou raisonnablement cru, qu'une violation de données personnelles notifiable s'est produite.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ashish Kumar
Ashish Kumar est un journaliste spécialisé dans la crypto et la finance, avec huit ans d'expérience en rédaction. Il couvre l'actualité des marchés cryptographiques, de la réglementation, de la DeFi et des écosystèmes d'échanges. Il a travaillé pour Coingape, Todayq et Newsroompost. Ashish détient un PGDP en journalisme anglais de l'IIMC. Il a également interviewé des personnalités du secteur telles qu'Arthur Hayes, Yat Siu, Austin Federa, et bien d'autres.
