證交署再遭數據洩露 黑客暗網賣40萬資料

　　本報訊：證券交易署面臨新的網絡攻擊傳聞。此前，一名自稱黑客者聲稱取得逾40萬用戶的個人資料，並於11月9日在地下論壇叫賣這些數據。

　　Bilyonaryo新聞頻道研究及調查團隊的分析發現，據稱遭洩露的記錄包含用戶的稅務識別號碼(TIN)、電郵地址、手機號碼、出生日期及住宅地址。

　　該帖子由一名使用“希特勒叔叔”(UncleHitler)用戶名的自稱外國黑客發布，聲稱最新事件涉及另一起數據洩露，而非早前網絡攻擊中據稱竊取的資料。

　　該自稱黑客還批評證券交易署暗示其數字平台用戶的設備遭入侵是早前據聲稱的事件的原因。

　　帖子寫道：“菲律濱政府是最差的，你們的國家令人噁心。”

　　它說：“試想一下你們的數據遭洩露，他們卻怪罪客戶，聲稱他們可能是遭入侵的原因，並開始編造可能發生‘惡意軟件攻擊’的故事。根本沒有什麼惡意軟件。”

　　它補充說：“你們要接受事實，你們的網頁應用程式存在漏洞，而且 MC28 客戶端的應用程式介面端點沒有做好過濾吧。”

　　該名黑客聲稱，據稱竊取的資訊叫價0.1比特幣，截至週三凌晨3時約合46.4萬披索。

　　BNC取得據稱外洩記錄的樣本，包含487318條身份及用戶名條目、487,294個電郵地址、482,424個手機號碼、486,512個出生日期、362,625個街道地址及414696個稅務識別號碼。

　　據報，數據還包括近500家公司的記錄，其證券交易署註冊狀態各異，包括已註冊、已撤銷、已暫停、拖欠、已過期及已解散。

　　根據樣本中發現的郵政編碼，據稱外洩的個人資訊很大部分似乎與大岷區有關。

　　網絡安全倡導團體Deep Web Konek對證券交易署早前對據稱洩露事件的初步回應表示失望。該團體於11月5日首次報導此事，恰逢“百萬面具遊行”黑客活動。

　　Deep Web Konek的馬爾科。仙爹戈(Marko Santiago)表示，該團體監測證券交易署三年，觀察到以往的數據洩露，但聲稱該署直到最近才公開承認事件。

　　仙爹戈說：“三年來，我們一直監測證券交易署，看到幾次洩露。然而，這是我們首次看到該署發表聲明承認遭入侵。”

　　仙爹戈還批評證券交易署在對據報事件的初步回應中據稱未能承擔責任。

　　他說：“缺乏問責。似乎我們被指責，並要為發生的事情負責。”

　　該團體警告，最新據稱的個人資訊外洩可能增加釣魚攻擊風險，網絡罪犯可能利用這些數據製作更具說服力的欺詐信息。

　　國家私隱署在聲明中確認，收到多個政府機構的個人數據洩露通知，包括證券交易署、資訊通訊技術部、厘務局、司法部及菲海岸警衛隊。

　　國家私隱署副私隱專員兼發言人貝拉米諾律師(Jose S. Belarmino II)強調，洩露通知並未免除政府機構保護個人資訊的責任。

　　貝拉米諾說：“洩露通知只是機構在《數據私隱法》下的其中一項責任。同樣重要的是機構如何回應事件、保護可能受影響的個人，以及解決可能導致洩露的漏洞。”

　　他補充說：“國家私隱署期望政府機構不僅透過遵守通知要求來展示問責，還要透過具體有效的措施保障個人數據，防止類似事件再次發生。”

　　國家私隱署強調，即使數據處理外包給第三方服務供應商，政府機構仍須負責保護個人資訊。

　　根據2012年《數據私隱法》，各機構須落實適當的組織、實體及技術保安措施，迅速處理安全事件，並在需要時通知受影響個人。

　　該私隱監管機構還警告公眾防範釣魚企圖、欺詐信息和身份盜竊，這些可能利用據報數據洩露中外洩的資訊。

　　與此同時，Deep Web Konek敦促資訊通訊技術部和網絡犯罪調查與協調中心採取更積極主動的方式防止網絡攻擊。

　　仙爹戈表示，該團體多年來一直監測網絡安全威脅，但質疑為何其倡導工作似乎填補了政府應對此類事件的空白。

　　他說：“我們三年來一直主動監測這些威脅。我們是倡導者，但有時感覺像是本該由其他政府部門負責的工作，反而落到我們的身上。”

　　該團體還警告可能針對政府網站和私人組織的更多網絡攻擊，援引地下論壇和信息平台關於計劃破壞電腦系統的討論。