L'autorité coréenne de protection des données (la Commission de protection des informations personnelles, PIPC) a aujourd'hui publié une décision de sanction à l'encontre de la société Terastar, comprenant le prononcé d'une amende globale de 12 800 000 KRW (environ 10 300 €), pour des manquements en lien avec la sécurité des données suite à une attaque par rançongiciel.
Cette affaire fait suite à une attaque par rançongiciel survenue le 26 novembre 2023, qui a chiffré les fichiers du serveur du site de commerce en ligne de la société et a entraîné la détérioration des données personnelles de 900 membres.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement : La société utilisait un système d'exploitation dont le support de sécurité avait pris fin et n'avait installé ni pare-feu, ni logiciel antivirus sur son serveur. De plus, des mots de passe et des numéros de compte étaient stockés sans chiffrement. L'absence de sauvegardes a rendu la restauration impossible, obligeant la société à reconstruire entièrement son système et à collecter de nouveau les données de ses membres.

En conséquence, l’autorité a imposé une amende de 8 000 000 KRW (environ 5 500 €) à la société Terastar.

Dans la même communication, l'autorité a également sanctionné la société Icetro d'une amende de 4 800 000 KRW (environ 3 300 €) pour des manquements à la sécurité des données, bien que l'impact d'une attaque par rançongiciel ait été limité par des mesures de restauration.
Cette seconde affaire concerne une attaque par rançongiciel, survenue le 7 juin 2024, au cours de laquelle un pirate a chiffré les fichiers du système de gestion interne de l'entreprise, qui contenait les données de 1 991 personnes.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement : Il a été découvert que les informations de connexion à la base de données de la société étaient stockées dans un fichier texte sans mot de passe. Par ailleurs, les journaux d'accès à la base de données contenant les numéros d'enregistrement de résident des employés n'étaient pas conservés pour la durée requise de deux ans. L'autorité a cependant noté que la société a immédiatement restauré son système à l'aide de sauvegardes quotidiennes, évitant ainsi une détérioration des données.

En conséquence, l’autorité a imposé une amende de 4 800 000 KRW (environ 3 300 €) à la société Icetro.