SK Telecom condamné à une amende record de 134,8 milliards de wons pour une fuite de données SIM touchant 23 millions d'utilisateurs

SK Telecom, le plus grand opérateur de télécommunications de Corée du Sud avec 23 millions d'abonnés, a écopé d'une amende record de 134,8 milliards de wons (97,2 millions de dollars) pour atteinte à la vie privée le 28 août 2025. La Commission de protection des informations personnelles (PIPC) a qualifié cette sanction de la plus lourde jamais imposée au titre de la loi sur la protection des informations personnelles, invoquant « des défaillances de sécurité élémentaires et une mauvaise gestion ».

La violation a commencé dès 2021, les attaquants étant restés indétectés au sein du réseau de SK Telecom pendant quatre ans. Lorsque le piratage a été révélé en avril 2025, il est apparu que les attaquants avaient accédé à 25 catégories de données personnelles d'abonnés LTE et 5G, notamment des numéros de téléphone, des numéros d'identité internationale d'abonné mobile (IMSI), des identifiants d'appareil (IMEI) et des clés d'authentification USIM.

L'enquête de la PIPC a révélé que SK Telecom avait relié ses réseaux internet, de gestion et internes sur le même système sans restreindre l'accès externe. Les serveurs de gestion étaient inutilement connectés au Home Subscriber Server (HSS), où la violation s'est produite. L'entreprise n'a pas chiffré 26,1 millions de clés d'authentification SIM, les stockant dans des bases de données en texte clair. Elle a ignoré les journaux de détection d'intrusion et n'a pas appliqué les correctifs de sécurité disponibles, dont un datant de 2016. Le rôle du délégué à la protection des données était limité aux services informatiques, laissant l'infrastructure télécom hors de sa surveillance.

La violation a contraint SK Telecom à lancer un programme gratuit de remplacement de cartes USIM pour l'ensemble de ses 23 millions d'abonnés, provoquant des pénuries temporaires de cartes SIM dans tout le pays et déclenchant une enquête gouvernementale. L'amende record a provoqué une onde de choc dans l'industrie télécom sud-coréenne, qui n'avait jamais fait face à une sanction pour atteinte à la vie privée d'une telle ampleur.

Des clés SIM stockées sans chiffrement et des correctifs ignorés, de sorte que les attaquants ont pu opérer pendant quatre ans ; l'amende record de 134,8 milliards de wons a été la facture de cette négligence.

SK Telecom a relié ses réseaux internet, de gestion et internes sur le même système sans restreindre l'accès externe, permettant aux attaquants de pivoter depuis internet vers la base de données centrale des abonnés

L'entreprise a stocké 26,1 millions de clés d'authentification SIM dans des bases de données en texte clair sans chiffrement, et n'a pas appliqué les correctifs de sécurité, dont un datant de 2016 pour une vulnérabilité connue

Le rôle du délégué à la protection des données était limité aux services informatiques, laissant toute l'infrastructure télécom hors de la surveillance en matière de vie privée

Un délégué à la protection des données qui ne peut pas toucher au réseau n'est qu'un titre, pas une défense. Des clés SIM en texte clair sur un réseau non segmenté font d'une amende record non pas une surprise, mais une facture pour maintenance différée.