La Commission de protection des informations personnelles (PIPC) a sanctionné la société NHN Commerce suite à une violation de données personnelles survenue via une ancienne solution de boutique en ligne.

Une attaque par injection SQL, survenue en septembre 2024, a affecté la solution "e-namu" de NHN Commerce, un logiciel en tant que service (SaaS). Cette vulnérabilité a permis la fuite de 122 ensembles de données de clients, incluant des informations sur l'identité, les coordonnées, la livraison et les commandes, provenant des sites de 17 entreprises utilisatrices. Bien que NHN Commerce ait notifié la violation à la PIPC dans les 72 heures, elle n'a pas assuré la bonne réception de la notification par les entreprises concernées ni informé directement les personnes concernées, alors qu'elle disposait de leurs coordonnées. En conséquence, la société a été condamnée à une amende administrative de 8 700 000 wons (environ 5 800 €) pour manquement aux mesures de sécurité, à une amende de 4 500 000 wons (environ 3 000 €) pour défaut de notification, ainsi qu'à une obligation de publier la sanction sur son site internet.

La solution "e-namu" était un logiciel ancien dont le support technique et la sécurité n'étaient plus correctement assurés, et qui avait déjà fait l'objet d'une sanction pour une attaque similaire. La violation a touché un petit nombre de petites entreprises qui n'avaient pas encore migré vers la nouvelle solution. La PIPC a donc recommandé à NHN Commerce de fournir une solution de remplacement aux utilisateurs restants et de les assister dans la migration de leurs sites. Il a également été recommandé aux entreprises utilisatrices de procéder à cette migration et de se conformer à la loi sur la protection des informations personnelles.