El 12 de julio de 2023, la Comisión de Protección de Información Personal de Corea del Sur (PIPC) sancionó a LG Uplus con un recargo de 6.800 millones de wones (5,3 millones de dólares) y una multa de 27 millones de wones por una brecha revelada ese enero: los piratas informáticos se habían llevado los datos personales de 297.117 clientes —nombres, números de teléfono, direcciones, fechas de nacimiento e identificadores USIM entre 26 campos. Fue el recargo más alto impuesto hasta entonces a una empresa coreana por una filtración de datos.
La comisión rastreó la intrusión hasta un sistema de autenticación de clientes que ejecutaba software que ya estaba al final de su vida útil en el momento presunto de la brecha, junio de 2018; el equipo básico de prevención de intrusiones estaba ausente o mal configurado, y webshells subidos en 2009 y 2018 habían permanecido sin descubrir en los servidores. Más de 10 millones de registros de producción con datos personales quedaron desatendidos en entornos de desarrollo y prueba.
También se reprochó a LG Uplus no haber notificado individualmente a los clientes afectados en un plazo de 24 horas tras conocer la filtración. La comisión le ordenó reforzar el papel de su responsable de privacidad, reconstruir su plan de gestión interna, inspeccionar sus sistemas de forma integral —y cumplir las inversiones en protección de la información que había prometido públicamente.
Los piratas informáticos se llevaron los archivos de 297.117 clientes; la PIPC multó con 6.800 millones de wones, la más alta de Corea, por la brecha y por no cumplir el plazo de 24 horas para la notificación individual.
Un sistema de autenticación es el objetivo de mayor valor que opera una telco, y era el que menos mantenimiento recibía: los atacantes sondean exactamente donde se detuvo el mantenimiento.
Los webshells antiguos persisten porque nadie los busca: un punto de apoyo plantado en 2009 seguía siendo utilizable en 2023.
Las obligaciones de notificación forman parte de la respuesta a una brecha; saber de una filtración e incumplir el plazo de 24 horas para informar a cada víctima es un fallo sancionable por separado.
La seguridad sigue a los presupuestos de mantenimiento, no a los organigramas: un servidor que autentica usuarios y funciona con software no soportado es una brecha a la espera de que se le atribuya.
CONSULTA LAS PRUEBAS