La Commission de protection des informations personnelles (PIPC) sud-coréenne a infligé une amende de 534 millions de wons (environ 358 000 €) à la société Tmoney pour des manquements à ses obligations de sécurité ayant conduit à une fuite de données.

L'enquête, initiée après une notification de violation le 11 avril 2025, a révélé qu'entre le 13 et le 25 mars 2025, le site web "Carte et Paiement Tmoney" a été la cible d'une attaque par bourrage d'identifiants. Un acteur malveillant a réalisé plus de 12,26 millions de tentatives de connexion depuis 9 647 adresses IP, entraînant la compromission des comptes de 51 691 utilisateurs et la fuite de leurs noms, adresses électroniques, numéros de téléphone et adresses postales. De plus, une valeur d'environ 14 millions de wons (près de 9 400 €) en points de fidélité "T-Mileage" a été dérobée sur 4 131 de ces comptes via une fonctionnalité de don.

La PIPC a conclu que Tmoney avait manqué à ses obligations de sécurité en n'ayant pas mis en place de systèmes de détection et de blocage d'intrusion adaptés pour réagir aux activités anormales, notamment les tentatives de connexion massives et répétées dont le volume était 68 fois supérieur à la normale. En conséquence, une amende de 534 millions de wons a été prononcée, assortie d'une injonction de publier les faits sur son site internet et de mettre en œuvre un plan de mesures correctives pour éviter toute récidive. L'autorité a également rappelé l'importance de renforcer les mesures de sécurité, notamment par la pseudonymisation des données et l'ajout d'une authentification supplémentaire pour l'accès aux informations personnelles.