フィリピンSECの情報漏洩、487K件規模の流出主張に疑義

フィリピン証券取引委員会（SEC）は、11月6日にデータセキュリティ侵害に関する事案が発覚したと発表した。同委員会は当該事案を国家プライバシー委員会（NPC）へ報告した。

声明において、SECは企業の記録、パスワード、およびデータベースがインシデントの影響を受けていないことを確認しました。ただし、一部の個人アカウント情報が侵害された可能性があります。

SECが発見したとされる内容

SECは、パスワードの侵害、データ改ざん、または会社記録への影響を示す証拠は見つかっていません。ただし、その助言では、氏名、ユーザー名、連絡先情報、生年月日、住所、納税者識別番号が漏洩した可能性があるとされています。

当局は現在、問題のデータの発生源とその真正性を調査しています。SECは警戒を強化し、報告された情報の真正性を明らかにするため調査を開始しました。また、同機関はデータの発生源がマルウェアである可能性にも言及していますが、事件の原因については断定できていません。

その間、フィリピン拠点のサイバーセキュリティ啓発団体「Deep Web Konek」は11月5日、SECから流出したとされる487,000件の情報ラインの販売を目的としたフォーラム投稿があると報告しました。

BIRが340,000件漏洩の主張を検証

国内歳入局（BIR）は、サイバー犯罪調査調整センターおよび国家コンピュータ緊急対応チームと連携して別の主張を調査しており、フィリピン通信社が報じています。同局は納税者データの盗難を確認していません。

2つ目のフォーラム広告では、BIRのデータ34万件を提供すると主張していました。

SECとBIRのフォーラムリストには共通点があります。どちらも11月5日に「sinigangmixwithgabi」というアカウントを通じて公開されました。同じアカウントによる主張であるため、一方が他方を独立して確認することは不可能です。また、487,000件と340,000件という数字からは、実際に影響を受けた人の数が把握できません。これらの主張の根拠となるデータは、本記事の目的のために独立して検証されていません。

プライバシー規制当局の72時間カウントダウン

NPCによると、2026年11月6日時点で、 alleged な政府機密漏洩に関する違反通知は受領していない。SECは、この状況についてNPCに通報したと述べている。これらの2つの出来事の説明は、異なる時期に行われたものである。

NPCの72時間ルールは、機関が通知が必要な違反が発生したことを知っており、またはその疑いがある合理的な根拠を持っている場合に発動する。その後、機関および影響を受けた当事者に通知を行う必要がある。オンライン上の告発だけでは、それ自体でそのような違反を構成するものではない。

今週以前から続くパターン

Hunt.ioは、9月6日にフィリピンの外国人労働者関連システムとファイル名が一致する27件のSQL Serverバックアップから68.837 GiBのコピーが行われたことを追跡した。同社は、アクセスがどのように開始されたか、またはマルウェアが実行されたかどうかを特定できなかった。

Verizonは2026年版レポートにおいて、世界中で確認された2万2,000件以上の違反事例、うち公開行政部門におけるデータ開示を伴う2,410件のケースを含む調査を行った。IBMによれば、ASEAN地域での平均的な違反コストは412万米ドル（金融サービス業界では653万米ドル）である。いずれもフィリピンにおける損失見積もりではない。

繰り返される漏洩がデジタル政府への信頼を損なう理由

政府ポータル利用者にとって、潜在的に晒されたプロフィールは、企業データが安全であっても標的型詐欺のリスクを高める可能性があります。今重要なのは、宣伝されている記録が本物かどうかを確認することです。

サイバー攻撃はより広範な経済的被害をもたらす可能性がある。IMFは警告する、重要インフラである金融システムへの攻撃はサービス停止や市場信頼の低下を招く恐れがある。しかし現時点では、フィリピンでの事案による確立された市場影響はまだ確認されていない。

フランスは、データ窃盗が確認された明確な事例を提供している。税務当局は納税者記録が窃取されたことを認めており、これはCryptopolitanによって報じられたものである。一方フィリピンではSECがセキュリティ侵害事案を確認したが、SECもBIRもオンラインで流布されている流出データの規模については検証していない。