Le 12 juillet 2023, la Commission de protection des informations personnelles (PIPC) de Corée du Sud a sanctionné LG Uplus d'une surtaxe de 6,8 milliards de wons (5,3 M$) et d'une amende de 27 millions de wons pour une violation révélée en janvier de la même année : des pirates avaient dérobé les données personnelles de 297 117 clients — noms, numéros de téléphone, adresses, dates de naissance et identifiants USIM parmi 26 champs. Il s'agissait de la surtaxe la plus élevée jamais imposée à une entreprise coréenne pour une fuite de données.
La commission a retracé l'intrusion jusqu'à un système d'authentification des clients fonctionnant sur un logiciel déjà en fin de vie à la date présumée de la violation, en juin 2018 ; l'équipement de base de prévention des intrusions était absent ou mal configuré, et des webshells téléversés en 2009 et 2018 étaient restés non détectés sur les serveurs. Plus de 10 millions d'enregistrements de production contenant des données personnelles étaient laissés sans surveillance dans des environnements de développement et de test.
LG Uplus a également été mise en cause pour ne pas avoir informé individuellement les clients concernés dans les 24 heures suivant la connaissance de la fuite. La commission lui a ordonné de renforcer le rôle de son responsable de la protection des données, de reconstruire son plan de gestion interne, d'inspecter ses systèmes de manière exhaustive — et d'honorer les investissements en protection des informations qu'elle avait publiquement promis.
Les pirates ont dérobé les fichiers de 297 117 clients ; la PIPC a infligé une amende de 6,8 milliards de wons, la plus élevée de Corée, pour la violation et pour le non-respect du délai de 24 heures pour la notification individuelle.
Un système d'authentification est la cible la plus précieuse qu'exploite un opérateur télécom, et c'est celui qui était le moins entretenu — les attaquants sondent précisément là où la maintenance s'est arrêtée.
Les vieux webshells persistent parce que personne ne les cherche : un point d'ancrage planté en 2009 était encore utilisable en 2023.
Les obligations de notification font partie de la réponse à une violation ; savoir qu'une fuite a eu lieu et manquer le délai de 24 heures pour en informer chaque victime constitue un manquement sanctionnable distinct.
La leçon
La sécurité suit les budgets de maintenance, pas les organigrammes — un serveur qui authentifie les utilisateurs et fonctionne sur un logiciel non pris en charge est une violation en attente d'être attribuée.
VÉRIFIEZ LES SOURCES