Une violation de données résultant d'une vulnérabilité non corrigée sur un serveur et d'une absence de cloisonnement réseau entre deux sociétés d'un même groupe a conduit l'autorité sud-coréenne à sanctionner les deux entités, en distinguant la responsabilité de celle dont le système a servi de point d'entrée et de celle dont les données ont été exfiltrées.

Faits et contexte

L'autorité sud-coréenne de protection des données, la Commission de protection des informations personnelles (PIPC), a publié une décision de sanction à l'encontre de deux sociétés du groupe HD Hyundai, HD Construction Equipment et HD Korea Shipbuilding & Offshore Engineering, comprenant le prononcé d'amendes d'un montant total de 78,3 millions de wons (environ 52 200 €) pour des manquements liés à la sécurité des systèmes de traitement.

L'affaire trouve son origine dans une violation de données personnelles subie par HD Construction Equipment en mars 2024, résultant d'une intrusion informatique menée par un acteur malveillant non identifié.

Motifs de la décision

L'autorité a retenu plusieurs manquements aux obligations de sécurité, qui peuvent être analysés au regard des principes du RGPD :

• Obligation de garantir la sécurité du traitement (équivalent de l'article 32 du RGPD) : L'enquête a démontré que HD Korea Shipbuilding & Offshore Engineering n'avait pas mis en œuvre les mesures techniques appropriées pour sécuriser son serveur de gestion des appareils mobiles. Une vulnérabilité de téléversement de fichiers n'avait pas été corrigée, ce qui a permis à un attaquant de déposer un fichier malveillant (une "webshell") et d'utiliser ce serveur comme point d'entrée pour l'attaque.

• Obligation de contrôler les accès aux systèmes de traitement (équivalent de l'article 32 du RGPD) : Il a été établi qu'aucune mesure ne limitait l'accès entre le serveur compromis de HD Korea Shipbuilding & Offshore Engineering et le système de gestion interne de HD Construction Equipment. L'autorité a souligné que cette interconnexion n'était justifiée par aucune nécessité opérationnelle. Cette absence de cloisonnement réseau a permis à l'attaquant, une fois le premier serveur compromis, de se déplacer latéralement pour accéder au système de la seconde société et y exfiltrer les données personnelles de 9 503 employés et partenaires (nom, numéro de matricule).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 73 500 000 wons (environ 49 000 €) à HD Construction Equipment, en tant que responsable du traitement des données personnelles ayant fait l'objet de la fuite.

En outre, l'autorité a ordonné à HD Korea Shipbuilding & Offshore Engineering le paiement d'une amende de 4 800 000 wons (environ 3 200 €) pour sa défaillance de sécurité ayant permis l'intrusion initiale.

Enseignements

Cette décision rappelle que :

• La gestion des vulnérabilités est une composante essentielle des mesures de sécurité techniques et doit être appliquée de manière rigoureuse et régulière sur tous les systèmes, en particulier ceux exposés sur internet.

• Le cloisonnement des réseaux et le contrôle strict des accès entre différents systèmes d'information sont des mesures fondamentales pour empêcher la propagation d'une attaque et limiter son impact.

• Les interconnexions entre les systèmes de différentes entités, même au sein d'un même groupe, doivent être limitées au strict nécessaire et sécurisées par des contrôles d'accès (par exemple, par adresses de protocole internet).

• La responsabilité d'une violation de données peut être partagée : l'entité dont le système a servi de point d'entrée peut être sanctionnée pour sa propre faille de sécurité, indépendamment de la sanction plus élevée infligée au responsable de traitement dont les données ont été compromises.