L’autorité coréenne de protection des données a aujourd’hui publié une décision de sanction à l’encontre de SK Telecom, comprenant le prononcé d’une amende de 134 790 000 000 ₩ (environ 100 millions d’euros) et une amende complémentaire de 960 000 ₩ (environ 700 €) pour des manquements liés à une fuite massive de données personnelles.

Cette affaire débute par la détection par SK Telecom, le 22 avril 2025, d’un transfert anormal de données vers l’extérieur, suivi d’une déclaration de fuite. En réponse, l’autorité a constitué un groupe de travail conjoint avec l’Agence coréenne pour la sécurité d’Internet (KISA) afin de mener une enquête approfondie sur les faits et les violations potentielles de la loi sur la protection des données personnelles.

L’enquête menée par l’autorité a permis de constater :
* Violation de l’obligation de mise en œuvre de mesures de sécurité appropriées : SK Telecom a géré de manière négligente ses réseaux internes, reliant sans restriction les réseaux internet, de gestion, cœur et interne, permettant aux hackers d’accéder aux serveurs critiques. L’entreprise n’a pas contrôlé les accès, n’a pas analysé les alertes d’intrusion, et a ignoré une intrusion détectée en février 2025.
* Gestion insuffisante des droits d’accès : environ 4 899 identifiants et mots de passe de 2 365 serveurs étaient stockés sans protection sur un serveur de gestion, et l’accès aux données sensibles sur le serveur HSS ne nécessitait aucune authentification.
* Absence de mise à jour de sécurité : une vulnérabilité connue depuis 2016 n’a pas été corrigée, et les antivirus n’étaient pas installés ni remplacés par d’autres mesures de sécurité efficaces.
* Non-chiffrement des clés d’authentification USIM : 26 144 363 clés d’authentification USIM ont été stockées en clair, facilitant leur vol et la crainte de clonage de cartes SIM.
* Manquements dans la gouvernance de la protection des données : le responsable de la protection des données (CPO) était limité à la gestion des services IT et ne supervisait pas les infrastructures critiques où la fuite est survenue.
* Retard dans la notification de la fuite : SK Telecom a découvert la fuite le 19 avril 2025 mais n’a pas informé les personnes concernées dans le délai légal de 72 heures, retardant la communication jusqu’en juillet 2025, aggravant ainsi la confusion sociale.

En conséquence, l’autorité a imposé une amende de 134 790 000 000 ₩ à SK Telecom pour manquement aux obligations de sécurité et une amende complémentaire de 960 000 ₩ pour retard de notification.

En outre, l’autorité a ordonné à SK Telecom de renforcer ses mesures de sécurité, de revoir la gouvernance en confiant au CPO la supervision de l’ensemble des traitements de données, et de faire certifier ses systèmes de réseau mobile selon la norme de gestion de la sécurité des informations ISMS-P. Par ailleurs, un plan global de renforcement de la gestion de la sécurité des données personnelles, incluant des incitations et des réformes réglementaires, sera annoncé début septembre pour encourager les investissements dans la protection des données par les grands acteurs.