菲律賓證管會傳數位平臺被駭，逾40萬用戶資料外洩

菲律賓證券交易管理委員會（Securities and Exchange Commission，SEC）本周一（11月9日）傳出數位平臺被駭，導致駭客竊走超過40萬用戶姓名、使用者名稱及稅籍編號等資料並放上網兜售。菲國SEC已著手調查。

菲律賓媒體BNC及FINTECH FINANCE News等報導，一名代號為UncleHitler的人士貼文兜售竊自SEC檔案，並公佈資料樣本，打算以0.1比特幣出售。駭客指稱他是從之前攻擊事件中獲取SEC數位平臺的用戶裝置憑證，進而存取SEC數位平臺竊取資訊。

駭客並說，之所以成功竊走SEC資料，原因是SEC網頁App有漏洞，且MC28 client API端點未有效消毒（unsanitized），他並沒有用什麼惡意程式。

駭客宣稱取得487,318筆身分和用戶名稱、電子郵件、手機號碼、出生日期各近49萬筆，以及36萬筆住家地址和41.4萬稅籍編號。這批資料還有近500家企業的SEC註冊狀態（包括註冊、註銷、停權、過期、註冊過期及公司解散等）。菲國媒體BNC分析駭客貼出的樣本資料，研判有一大部分個人資訊來自馬尼拉都會區。

最先揭露該事件的資安倡議組織Deep Web Konek指出在11月5號即已提出警告，但菲國SEC反應消極。這家業者並指出，追蹤SEC三年期間，之前觀測到SEC資料外洩，但SEC從未公開承認。

菲國SEC周一透過X指出，11月6日獲悉數位平臺遭非法存取，導致用戶個資及稅籍編號外洩的網路報導。SEC宣稱對此嚴肅以待，並已啟動調查同時執行安全措施。SEC說並未要求用戶提供密碼或信用卡資訊。

這是資安組織Deep Web Konek揭露發生於11月5日到9日的菲國政府重大資安事件的其中一件。被點名的機構總數達23個，其中包含16個政府相關機構。除了SEC、亦有副總統辦公室資料10GB、及勞工暨就業部1,920萬筆紀錄被竊，內政部及本地政府部則外洩1,900萬筆住家紀錄近500GB資料。其他還有國稅局（The Bureau of Internal Revenue）、政府徵才網站、善政總統委員會（Presidential Commission on Good Government）、以及資通訊科技部等。