Une faille de sécurité élémentaire, consistant à ne pas avoir mis hors service un serveur de fichiers après une migration de données, est à l'origine d'une fuite de données massive ayant conduit à la sanction de quatre sociétés d'un même groupe pour de multiples manquements en cascade.

Faits et contexte

L'autorité sud-coréenne de protection des données, la Commission de Protection des Informations Personnelles (PIPC), a publié une décision de sanction à l'encontre de quatre sociétés du groupe Samyang (Samyang Holdings Inc., Samyang Corporation, Samyang Packaging et Samyang Data System Inc.), comprenant le prononcé d'une amende totale de 568 200 000 wons sud-coréens (environ 378 800 €) pour des manquements graves aux obligations de sécurité, de conservation et de licéité des traitements.

L'affaire trouve son origine dans une cyberattaque survenue en juillet 2022, au cours de laquelle un tiers non autorisé a exfiltré un volume important de données personnelles après avoir exploité une vulnérabilité sur un serveur de messagerie pour obtenir des accès à un serveur de fichiers interne.

Motifs de la décision

L'enquête a révélé que le serveur compromis avait été utilisé pour une migration de données et aurait dû être mis hors service, mais était resté connecté au réseau externe. L'attaquant a ainsi pu exfiltrer environ 850 000 fichiers (1,3 To) contenant les données de 149 767 personnes, dont 82 750 numéros de registre national. L'autorité a retenu plusieurs violations :

• Obligation d'assurer la sécurité du traitement : L'autorité a constaté que la société Samyang Data System Inc., agissant en tant que sous-traitant, a manqué à son obligation de sécurité en laissant un serveur de fichiers, utilisé pour une migration de données terminée, connecté au réseau externe. De plus, les trois autres sociétés du groupe, en tant que responsables du traitement, n'avaient pas mis en œuvre de mesure de chiffrement pour les numéros de registre national stockés, ce qui a considérablement aggravé les conséquences de la violation pour les personnes concernées.
• Obligation de limitation de la conservation : Il a été établi que les sociétés Samyang Holdings Inc. et Samyang Packaging conservaient des informations sur les salaires de travailleurs journaliers au-delà de la durée de conservation légale applicable, en violation du principe de limitation de la conservation.
• Obligation de licéité et de minimisation de la collecte : L'enquête a démontré que la société Samyang Holdings Inc. collectait les numéros de registre national de candidats lors du processus de recrutement sans disposer d'une base légale valable pour justifier cette collecte.
• Obligation d'encadrer la sous-traitance par un contrat : Les trois sociétés responsables du traitement avaient confié des activités de traitement à Samyang Data System Inc. depuis juillet 2022, mais n'ont formalisé cette relation par un contrat écrit qu'en décembre 2024, soit bien après la survenance de l'incident de sécurité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende administrative d'un montant total de 552 000 000 wons sud-coréens et une amende pour infraction de 16 200 000 wons sud-coréens, soit un total de 568 200 000 wons sud-coréens (environ 378 800 €) aux sociétés concernées.

En outre, l'autorité a ordonné à Samyang Data System Inc. de prendre des mesures correctives pour se conformer à ses obligations de sécurité.

Enseignements

Cette décision rappelle que :

• La gestion du cycle de vie des actifs informatiques est un pilier de la sécurité des données ; tout serveur ou système n'étant plus utilisé, même temporairement, doit être soit mis hors service, soit complètement isolé des réseaux externes.
• Le chiffrement des données à caractère personnel particulièrement sensibles, telles que les numéros d'identification nationaux, constitue une mesure de sécurité technique fondamentale pour atténuer les risques en cas de violation d'un périmètre de sécurité.
• La formalisation d'un contrat de sous-traitance conforme aux exigences légales doit impérativement précéder tout traitement de données par un sous-traitant, et non être régularisée a posteriori, en particulier après un incident de sécurité.