Deux entités ont été sanctionnées pour des violations de sécurité résultant de vulnérabilités web (injection SQL, webshell) sur des systèmes jugés secondaires, soulignant l'importance d'une vigilance étendue à l'ensemble du périmètre informatique.

Faits et contexte

L'autorité sud-coréenne de protection des données, la Commission de protection des informations personnelles (PIPC), a publié deux décisions de sanction à l'encontre de la société Daekyo et de la fondation médicale Younghoon, comprenant le prononcé d'amendes d'un montant total de 3 885 000 000 KRW (environ 2 590 000 €) pour des manquements graves à leurs obligations de sécurité.

Ces deux affaires ont pour origine des notifications de violation de données personnelles qui ont conduit l'autorité à ouvrir des enquêtes.

Motifs de la décision

Concernant la société Daekyo :

• Obligation d'assurer la sécurité du traitement : La société Daekyo a permis un accès direct et non nécessaire entre le serveur web d'une société affiliée et sa propre base de données membres. Un attaquant a exploité une vulnérabilité sur ce serveur affilié pour y déposer un webshell et exfiltrer les données de 650 000 personnes en deux temps, en août 2024 et février 2025. L'autorité a relevé que l'entreprise avait été alertée d'une activité suspecte par son prestataire de surveillance de la sécurité après la première attaque, mais n'avait pris aucune mesure d'analyse ou de blocage, ce qui a permis la survenance d'une seconde attaque identique. Enfin, il a été constaté que le responsable de la protection des données avait manqué à son devoir de supervision en ne vérifiant pas l'application du plan de gestion interne relatif au contrôle d'accès.

Concernant la fondation médicale Younghoon :

• Obligation d'assurer la sécurité du traitement : La fondation médicale Younghoon exploitait un site web auxiliaire (information, prise de rendez-vous) sur lequel elle collectait des données via un formulaire d'inscription "par habitude", sans en justifier la nécessité. Un attaquant a exploité une faille d'injection SQL pour dérober les données de 188 481 membres. L'enquête a révélé l'absence de mesures de sécurité de base, telles qu'un pare-feu applicatif web pour détecter et bloquer ce type d'attaques, des analyses de vulnérabilités ou une validation des champs de saisie. De plus, les mots de passe des utilisateurs étaient chiffrés à l'aide d'un algorithme non sécurisé et sans l'ajout d'un "sel", rendant certains d'entre eux déchiffrables.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 3 255 000 000 KRW (environ 2 170 000 €) à la société Daekyo.

En conséquence, l'autorité a imposé une amende de 630 000 000 KRW (environ 420 000 €) à la fondation médicale Younghoon.

En outre, l'autorité a ordonné à la société Daekyo de renforcer les mesures de sécurité de ses systèmes, de revoir son processus de réponse aux incidents et de publier la sanction sur son site web. La fondation médicale Younghoon a quant à elle reçu l'ordre de mettre en œuvre des analyses de vulnérabilités périodiques et d'appliquer les correctifs nécessaires.

Enseignements

Cette décision rappelle que :

• Le périmètre de sécurité ne se limite pas aux systèmes d'information principaux, mais doit inclure tous les systèmes interconnectés, y compris ceux des sociétés affiliées ou les sites web auxiliaires, qui peuvent constituer des points d'entrée pour des attaquants.
• La collecte de données personnelles, notamment via des fonctionnalités d'inscription "habituelles" sur des sites web, doit être systématiquement remise en question au regard du principe de minimisation des données.
• L'absence de réaction à une alerte de sécurité et un défaut de supervision par le responsable de la protection des données sur la mise en œuvre effective des plans de gestion internes constituent des manquements graves pouvant entraîner la répétition d'incidents identiques.