Help Center

We detected a breach in our StarSearch (Classified section) and ESG Award database. These were the only databases that were affected, with SMG maintaining data integrity throughout the rest of the group.

StarSearch
Data exfiltrated: First Name, Last Name, Address, State, Country, Phone, Email, NRIC

ESG Awards
Data exfiltrated: First Name, Last Name, Mobile number, Email, Password

We confirmed the exfiltration of personal data on 27 October 2026 and notified the Personal Data Protection Commissioner on 30 October 2026.

The investigation is ongoing, and those responsible have not yet been identified. As of to date, we have not received any ransom demand or other demands in connection with the incident.

Our investigation indicates that the attackers exploited a vulnerability in one of our applications to gain unauthorised access.

We have contained the incident, engaged independent cybersecurity specialists, strengthened our security controls and enhanced our monitoring.

We have filed a Data Breach Notification with the Commissioner of Personal Data Protection in accordance with Section 12B of the Personal Data Protection Act (PDPA) and also filed a police report with the Royal Malaysian Police (PDRM).

We are strengthening access controls, authentication and security monitoring, alongside an independent review of the affected systems. We are also applying security updates and reinforcing security awareness across our teams.

The findings will guide further improvements across SMG to reduce the risk of similar incidents.

The motive remains unknown, and the investigation is ongoing. The affected personal information could be misused for phishing, scams or identity fraud. We therefore encourage affected individuals to follow the precautions outlined below.

• Be Vigilant Against Phishing and Scams
  • Be cautious of unexpected phone calls, WhatsApp messages, SMS, or emails claiming to be from government agencies, banks, telecommunication providers, or delivery couriers – even if the caller quotes your exact NRIC or address.
• Do Not Disclose Verification Codes
  • Never provide OTPs, TAC codes, banking passwords, or identity documents to anyone contacting you unsolicited.
• Do Not Click On Unverified Links
  • We will never ask for your login details or passwords. If you receive a message asking for this information, do not click on any links.

The affected databases did not contain your banking details, such as bank account numbers or payment card information. These details were therefore not exposed in this incident. Exposure of your personal details does not, by itself, give someone access to your bank account.

However, scammers may use those details to make calls or messages appear genuine. Never share your banking passwords, PINs, OTPs or TAC codes, or approve transactions you did not initiate. If you notice unusual activity or receive a suspicious request, contact your bank using its official contact details.

For ESG Awards users, your ESG Awards account login credentials were among the information affected by the incident. While your password was stored in encrypted form, we are requiring all affected users to reset their passwords as a precautionary security measure. You can reset your password by following these steps:

1. Visit the official ESG Awards website by manually typing the URL into your browser.
2. Enter your registered email address and existing password on the login page.
3. Upon entering your existing password, the system will automatically send a password reset email to your registered email address.
4. Open the password reset email and click the secure link provided to create a new password. Please note that the password reset link will expire after one (1) hour.
5. Once your password has been successfully reset, you may log in using your new password.

If you have used the same password for other online accounts, we strongly recommend changing those passwords as well. We also encourage you to use strong, unique passwords for each account and enable two-factor authentication wherever available.

Kami telah mengesan pelanggaran keselamatan dalam pangkalan data StarSearch (bahagian iklan kecil) dan ESG Awards kami. Hanya dua pangkalan data ini yang terjejas. Integriti data di bahagian lain dalam kumpulan SMG kekal terpelihara.

StarSearch
Data yang telah disalin keluar tanpa kebenaran: Nama pertama, nama akhir, alamat, negeri, negara, nombor telefon, alamat e-mel dan nombor kad pengenalan (NRIC).

ESG Awards
Data yang telah disalin keluar tanpa kebenaran: Nama pertama, nama akhir, nombor telefon bimbit, alamat e-mel dan kata laluan.

Kami mengesahkan bahawa data peribadi telah disalin keluar tanpa kebenaran pada 27 Oktober 2026 dan memaklumkan perkara ini kepada Pesuruhjaya Perlindungan Data Peribadi pada 30 Oktober 2026.

Siasatan masih dijalankan dan pihak yang bertanggungjawab belum dikenal pasti. Setakat ini, kami tidak menerima sebarang tuntutan wang tebusan atau tuntutan lain berhubung insiden ini.

Siasatan kami menunjukkan bahawa pihak penyerang telah mengeksploitasi sistem keselamatan dalam salah satu aplikasi kami untuk mendapatkan akses tanpa kebenaran.

Kami telah membendung insiden ini, mendapatkan khidmat pakar keselamatan siber bebas, memperkukuh kawalan keselamatan serta meningkatkan pemantauan kami.

Kami telah mengemukakan Notifikasi Pelanggaran Data kepada Pesuruhjaya Perlindungan Data Peribadi selaras dengan Seksyen 12B Akta Perlindungan Data Peribadi (APDP), serta membuat laporan polis kepada Polis Diraja Malaysia (PDRM).

Kami sedang memperkukuh kawalan akses, pengesahan identiti dan pemantauan keselamatan, di samping menjalankan semakan bebas terhadap sistem yang terjejas. Kami juga sedang melaksanakan kemas kini keselamatan serta meningkatkan kesedaran keselamatan dalam kalangan kakitangan kami.

Dapatan semakan ini akan menjadi panduan bagi penambahbaikan selanjutnya di seluruh SMG untuk mengurangkan risiko insiden seumpama ini.

Motif kejadian masih belum diketahui dan siasatan masih dijalankan. Maklumat peribadi yang terjejas berpotensi disalahgunakan untuk pancingan data, penipuan atau penipuan identiti. Oleh itu, kami menggalakkan individu yang terjejas supaya mengambil langkah berjaga-jaga yang dinyatakan di bawah.

• Berwaspada terhadap pancingan data dan penipuan
  • Berhati-hati dengan panggilan telefon, mesej WhatsApp, SMS atau e-mel yang tidak dijangka daripada pihak yang mendakwa mewakili agensi kerajaan, bank, penyedia perkhidmatan telekomunikasi atau syarikat kurier, walaupun mereka dapat menyatakan nombor kad pengenalan atau alamat anda dengan tepat.
• Jangan dedahkan kod pengesahan
  • Jangan sesekali memberikan kod OTP, kod TAC, kata laluan perbankan atau dokumen pengenalan diri kepada sesiapa yang menghubungi anda tanpa diminta.
• Jangan klik pautan yang belum disahkan kesahihannya
  • Kami tidak akan meminta maklumat log masuk atau kata laluan anda. Jika anda menerima mesej yang meminta maklumat tersebut, jangan klik mana-mana pautan dalam mesej itu.

Pangkalan data yang terjejas tidak mengandungi butiran perbankan anda, seperti nombor akaun bank atau maklumat kad pembayaran. Oleh itu, maklumat tersebut tidak terdedah dalam insiden ini. Pendedahan maklumat peribadi anda sahaja tidak cukup untuk membolehkan seseorang mengakses akaun bank anda.

Walau bagaimanapun, pihak yang tidak bertanggungjawab mungkin menggunakan maklumat tersebut untuk menjadikan panggilan atau mesej mereka kelihatan sah. Jangan sesekali berkongsi kata laluan perbankan, PIN, kod OTP atau kod TAC anda, atau meluluskan transaksi yang tidak anda mulakan sendiri. Jika anda mengesan aktiviti luar biasa atau menerima permintaan yang mencurigakan, hubungi bank anda melalui saluran hubungan rasminya.

Untuk pengguna ESG Awards, maklumat log masuk akaun ESG Awards anda adalah antara maklumat yang terjejas dalam insiden ini. Walaupun kata laluan anda disimpan dalam bentuk yang disulitkan (encrypted), kami mewajibkan semua pengguna yang terjejas untuk menetapkan semula kata laluan mereka sebagai langkah keselamatan berjaga-jaga. Anda boleh menetapkan semula kata laluan dengan mengikuti langkah berikut:

1. Layari laman web rasmi ESG Awards dengan menaip sendiri alamat URL ke dalam pelayar anda.
2. Masukkan alamat e-mel berdaftar dan kata laluan sedia ada pada halaman log masuk.
3. Selepas anda memasukkan kata laluan sedia ada, sistem akan menghantar e-mel penetapan semula kata laluan secara automatik ke alamat e-mel berdaftar anda.
4. Setelah kata laluan berjaya ditetapkan semula, anda boleh log masuk menggunakan kata laluan baharu. Harap maklum bahawa pautan penetapan semula kata laluan cuma aktif untuk satu (1) jam sahaja.

Jika anda menggunakan kata laluan yang sama untuk akaun dalam talian yang lain, kami amat mengesyorkan agar anda turut menukar kata laluan tersebut. Kami juga menggalakkan anda menggunakan kata laluan yang kukuh dan unik bagi setiap akaun serta mengaktifkan pengesahan dua faktor sekiranya perlu.