La Commission de protection des informations personnelles (PIPC) sud-coréenne a sanctionné trois sociétés du secteur du luxe pour des manquements liés à la sécurité des données personnelles traitées via des logiciels en tant que service (SaaS).
Lors de sa réunion du 11 février, l'autorité a prononcé des amendes administratives d'un montant total de 36 033 000 000 wons (environ 24 022 000 €) et des pénalités s'élevant à 10 800 000 wons (environ 7 200 €) à l'encontre de Louis Vuitton Corée, Christian Dior Couture Corée et Tiffany Corée. Les trois entreprises ont subi des violations de données personnelles dans le cadre de leur utilisation de services de gestion de la clientèle basés sur des logiciels en tant que service, et ont également été sommées de publier la sanction sur leur site internet. La PIPC a souligné que l'utilisation de tels logiciels n'exonère pas le responsable de traitement de son obligation d'assurer la sécurité des données, notamment par la restriction des accès par adresse de protocole internet (IP) et l'application de moyens d'authentification sécurisés comme les mots de passe à usage unique (OTP).

Louis Vuitton Corée a subi une fuite de données concernant environ 3,6 millions de personnes suite à l'infection par un logiciel malveillant du terminal d'un employé, ayant permis le vol d'identifiants de connexion au SaaS. Il a été constaté que depuis 2013, la société n'avait pas restreint l'accès au service par adresse IP ni mis en œuvre de méthode d'authentification sécurisée pour les connexions externes.

Christian Dior Couture Corée a vu les données d'environ 1,95 million de personnes divulguées après qu'un employé du service client a été victime d'hameçonnage vocal, donnant ainsi l'accès au SaaS à un attaquant. Les manquements identifiés incluent l'absence de restriction d'accès par adresse IP, l'autorisation d'utiliser un outil de téléchargement de données en masse et l'absence d'inspection mensuelle des journaux de connexion, ce qui a retardé la détection de la fuite de plus de trois mois. La notification de la violation a également été effectuée au-delà du délai de 72 heures sans justification.

Tiffany Corée a été affectée par une fuite de données touchant environ 4 600 personnes, résultant d'un incident d'hameçonnage vocal similaire à celui de Dior. L'enquête a révélé que la société n'avait pas limité l'accès au SaaS par adresse IP ni restreint l'usage d'outils de téléchargement de données en masse. La notification de la violation aux autorités et aux personnes concernées a également été tardive, dépassant le délai de 72 heures sans motif valable.