La Commission de protection des informations personnelles (PIPC), autorité sud-coréenne, a sanctionné quatre sociétés pour des failles de sécurité ayant conduit à des violations de données, soulignant l'impératif de mettre en œuvre des mesures techniques robustes contre les attaques par bourrage d'identifiants et d'assurer une gouvernance interne efficace pour une réponse rapide aux incidents.

Faits et contexte

L'autorité sud-coréenne de protection des données a aujourd'hui publié une décision de sanction à l'encontre de la société GS Retail (comprenant le prononcé d'une amende de 12 836 000 000 KRW, soit environ 8 600 000 €) pour des manquements en lien avec la sécurité des données et la notification des violations. Trois autres sociétés, Nrise, SK Telecom et Atoz, ont également été sanctionnées dans le cadre de cette même vague de décisions pour des motifs similaires.

L'affaire trouve son origine dans plusieurs violations de données distinctes survenues chez ces quatre opérateurs, résultant de mesures de sécurité jugées insuffisantes, notamment des failles dans le contrôle d'accès à leurs systèmes de traitement d'informations personnelles.

Motifs de la décision

Concernant la société GS Retail, qui opère notamment les services de supérettes GS25, de téléachat GS SHOP et de supermarchés GS THE FRESH, l'autorité a retenu plusieurs manquements :

• Obligation de garantir la sécurité du traitement : Un attaquant non identifié a mené des attaques par "bourrage d'identifiants" contre les sites de GS SHOP (du 21 juin 2024 au 13 février 2025) et GS25 (du 26 décembre 2024 au 4 janvier 2025), réussissant à se connecter et à exfiltrer les données de 1 581 025 clients de GS SHOP et 79 128 clients de GS25 (nom, sexe, date de naissance, contact, adresse, courriel). L'autorité a conclu à une violation de l'obligation de sécurité, car la société n'avait mis en place aucune mesure technique pour détecter et bloquer les tentatives de connexion massives et anormales provenant des mêmes adresses IP sur une courte période. Cette absence de surveillance a permis à l'attaque de se poursuivre sur une longue durée sans être décelée.
• Obligation d'assurer une gouvernance adéquate en matière de protection des données : L'enquête a révélé que la société ne disposait pas d'une équipe dédiée à la protection des données personnelles et que sa structure de sécurité était organisée de manière duale, ce qui a entravé la détection et la réponse à l'incident. L'autorité a estimé que cette organisation interne défaillante a directement contribué à la lenteur de la réaction, la société n'ayant pris conscience de l'attaque sur le site GS SHOP qu'en février 2025, plus d'un mois après avoir détecté l'attaque initiale sur le site GS25, alors que certaines adresses IP étaient communes aux deux attaques.
• Obligation de notifier les violations de données : Au cours de l'enquête, 1 599 personnes concernées supplémentaires ont été identifiées. L'autorité a constaté que la société les avait notifiées de la violation au-delà du délai légal de 72 heures, sans pouvoir justifier ce retard.

Concernant les trois autres sociétés :

• La société Nrise, opérant une application de rencontres, a subi une violation de données affectant 736 comptes. L'attaquant a exploité une vulnérabilité dans le processus de vérification d'identité de l'application. L'autorité a reproché à la société de ne pas avoir corrigé cette faille connue et de ne pas avoir mis en place de politique de blocage des connexions excessives depuis une même adresse IP.
• La société Atoz, agissant en tant que sous-traitant pour SK Telecom dans le cadre d'un événement pour le service « ifland », a exposé les données de 1 140 personnes (nom, numéro de téléphone). La page administrateur du site web de l'événement, qui ne disposait d'aucune mesure de contrôle d'accès telle qu'une restriction par adresse IP, a été indexée par les moteurs de recherche.
• La société SK Telecom, en tant que responsable du traitement, a été sanctionnée pour avoir notifié la violation de données susmentionnée au-delà du délai de 24 heures alors applicable en vertu de l'ancienne loi sur la protection des informations personnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 12 836 000 000 KRW (environ 8 600 000 €) ainsi qu'une pénalité de 3 000 000 KRW (environ 2 010 €) à la société GS Retail. Les trois autres sociétés se sont vu imposer des amendes et pénalités pour un montant total de 118 440 000 KRW (environ 79 000 €) et 7 200 000 KRW (environ 4 800 €).

En outre, l'autorité a ordonné à la société GS Retail de prendre des mesures correctrices spécifiques, notamment : l'élaboration et la mise en œuvre de mesures de prévention pour identifier les accès anormaux en analysant les volumes et les schémas de connexion ; la mise en place d'une équipe dédiée à la protection des données pour assurer une réponse rapide aux incidents ; la clarification des pouvoirs et des responsabilités de son délégué à la protection des données ; et la publication de la décision sur son site internet.

Enseignements

Cette décision confirme / précise / rappelle que :

• La protection contre les attaques par bourrage d'identifiants ne relève pas de la seule responsabilité des utilisateurs dans le choix de leurs mots de passe, mais impose aux responsables de traitement de mettre en œuvre des mesures techniques proactives (limitation de débit, analyse comportementale, blocage d'IP) pour détecter et contrer de telles tentatives d'accès automatisées et à grande échelle.
• Une structure de gouvernance interne claire et efficace en matière de protection des données, avec un personnel dédié et un délégué à la protection des données doté de responsabilités bien définies, est indispensable pour garantir une détection et une gestion des incidents de sécurité rapides et coordonnées.
• Le responsable de traitement demeure pleinement responsable des manquements de ses sous-traitants en matière de sécurité, et doit s'assurer par des mesures techniques et organisationnelles appropriées que ces derniers respectent leurs obligations, notamment en matière de contrôle d'accès aux systèmes d'information.