Sinabi ng Bangko Sentral ng Pilipinas (BSP) noong Miyerkules, Enero 4, na inatasan nito ang Bank of the Philippine Islands (BPI) na magsumite ng regular o kahit oras-oras na mga update kung paano nito nireresolba ang technical glitch matapos mag-isyu ang bangkong pag-aari ng Ayala ng payo sa insidente.
“Inutusan ng BSP ang BPI na magsumite ng timeline at mga update sa pagbabalik ng mga maling transaksyon nito,” sabi ng BSP sa isang pahayag.
Tiniyak din ng BSP sa publiko sa pagbabangko na “mahigpit itong nakikipag-ugnayan sa BPI kaugnay sa insidente ng double debit transaction na nakakaapekto sa mga accountholder ng BPI.”
“Natukoy na ng (BPI) ang ugat ng error sa pagpapatakbo at nangakong ibalik ang mga maling transaksyon at ibalik ang mga serbisyo sa mobile at internet banking sa lalong madaling panahon,” sabi ng BSP.
Sa isang advisory noong Ene. 4 @TalktoBPI sa Twitter, sinabi ng BPI na ilang automated teller machines (ATM), cash accept machines (CAM), point-of-saie o POS, at e-commerce debit transactions mula Disyembre 30 hanggang 31 ay nai-post ng dalawang beses.
Sinabi ng BPI sa isang update, “mangyaring ipaalam na inaasahan namin ang pagwawasto ng mga duplicate na transaksyon sa loob ng araw (Ene. 4).” Idinagdag nito na “dahil sa mataas na dami ng mga katanungan sa aming mga online na channel sa pagbabangko, maaari kang makaranas ng pasulput-sulpot na pag-access sa aming mga platform ng web at mobile app. Makatitiyak na ligtas at secure ang iyong account.”
Mula noong Nobyembre 2018, ang BSP ay naglabas ng mga panuntunan para sa mabilis na pag-uulat sa mga teknikal na aberya at iba pang isyu na may kaugnayan sa cyber ng mga bangko.
Ang mga bangko ay humaharap sa mga banta ng mga pag-atake na nauugnay sa cyber sa kanilang mga cash machine araw-araw. Ang iba pang mga banta na kailangang bantayan ng mga bangko at hindi mga bangko araw-araw ay ang paglabag sa data at pagkalugi sa pananalapi na nagreresulta sa mga nakompromisong cyber security system.
Kinikilala ng BSP ang pangangailangan para sa pampublikong pagsisiwalat ng mga naturang insidente tulad ng mga teknikal na aberya.
Noong nakaraan, ang mga bangko ay kinakailangang mag-ulat ng mga isyu na nauugnay sa cyber sa loob ng 10 araw pagkatapos itong mangyari. Gayunpaman noong 2018, inaprubahan ng BSP ang isang bagong panuntunan na nag-uutos sa mga bangko na mag-ulat ng mga insidente na may kaugnayan sa cyber tulad ng mga teknikal na aberya sa loob ng dalawang oras pagkatapos unang matukoy ang krimen. Ito ay upang maiwasan ang karagdagang pagkagambala sa mga serbisyo at operasyon sa pananalapi tulad ng kapag may nangyaring paglabag sa data, na inilarawan ng BSP bilang “isang insidente kung saan ang sensitibo, protektado o kumpidensyal na data o impormasyon ay potensyal na tiningnan, ninakaw, na-leak, nagamit o nawasak. ng mga hindi awtorisadong tao.”
Kapag o kung natamaan, ang mga lokal na bangko ay inutusan na magsumite sa BSP ng isang follow-up na ulat sa loob ng 24 na oras ng insidente at dapat itong maglaman ng impormasyon tulad ng paraan at oras ng paunang pagtuklas, epekto ng insidente, at paunang pagtugon sa remedial.
Ang mabilis na pag-uulat ay susi sa pagpigil sa pagkalat ng mga krimen na nauugnay sa cyber o panloob na mga problema sa pagpapatakbo. Sinabi ng BSP na ito ay kinakailangan dahil sa “bilis ng pagsasamantala, paglaganap ng mga tool sa pag-atake at mga aktor, at potensyal na napakalaking lawak ng pinsala”.
Ang BSP Circular No. 1019 (Technology and Cyber-Risk Reporting and Notification Requirements) ay nagdetalye ng mga alituntunin para sa mga pana-panahong ulat ng mga bangko o taunang IT profile at mga ulat na hinihimok ng kaganapan sa mga isyu na nauugnay sa cyber.
Ang maiuulat na mga pangunahing krimen na may kaugnayan sa cyber ay lahat ng bagay na “seryosong magsasapanganib sa pagiging kompidensiyal, integridad o pagkakaroon ng kritikal na impormasyon, data o mga sistema ng mga institusyong pampinansyal na pinangangasiwaan ng BSP.” Kabilang dito ang “nakompromisong estado” kapag ang isang tao o isang bagay ay malisyosong pumasok sa mga network, system at computer; paglabag sa data; pag-hack; pharming (isang anyo ng cyber attack na nagre-redirect ng trapiko sa website sa isang pekeng website); spearphishing; at aktor ng pagbabanta (isang tao, isang organisadong grupo o pamahalaan na may higit na mataas na kakayahan na magdulot ng malaking pinsala sa mga institusyon).
Ang hindi nangangailangan ng agarang pag-uulat o hindi isinasaalang-alang bilang mga pangunahing naiulat na insidente ay ang mga kaganapang panseguridad at/o mga pag-atake na maaaring ihinto ng mga sistema ng seguridad. Gayunpaman, ang mga ito ay maaaring maging malalaking insidente kung mayroong maraming account ng customer na natamaan gaya ng mapanlinlang na paglilipat ng malalaking halaga ng pera.