Em 12 de julho de 2023, a Comissão de Proteção de Informações Pessoais da Coreia do Sul (PIPC) sancionou a LG Uplus com uma sobretaxa de ₩6,8 bilhões (US$ 5,3 milhões) e uma multa de ₩27 milhões por um vazamento divulgado naquele janeiro: hackers haviam levado dados pessoais de 297.117 clientes — nomes, números de telefone, endereços, datas de nascimento e identificadores USIM, entre 26 campos. Foi a maior sobretaxa já imposta a uma empresa coreana por vazamento de dados.
A comissão rastreou a intrusão até um sistema de autenticação de clientes que rodava software já em fim de vida na época presumida do vazamento, junho de 2018; equipamentos básicos de prevenção de intrusão estavam ausentes ou mal configurados, e webshells enviados em 2009 e 2018 permaneceram sem ser descobertos nos servidores. Mais de 10 milhões de registros de produção com dados pessoais ficaram sem supervisão em ambientes de desenvolvimento e teste.
A LG Uplus também foi responsabilizada por não notificar individualmente os clientes afetados dentro de 24 horas após tomar conhecimento do vazamento. A comissão ordenou que a empresa reforçasse o papel de seu responsável pela privacidade, reconstruísse seu plano de gestão interna, inspecionasse seus sistemas de forma abrangente — e cumprisse os investimentos em proteção de informações que havia prometido publicamente.
Hackers levaram 297.117 arquivos de clientes; a PIPC multou a empresa em ₩6,8 bilhões, a maior da Coreia, pelo vazamento e por perder a janela de 24 horas para notificação individual.
Um sistema de autenticação é o alvo de maior valor que uma operadora de telecomunicações mantém, e foi o menos mantido — os atacantes sondam exatamente onde a manutenção parou.
Webshells antigos persistem porque ninguém os procura: um ponto de apoio plantado em 2009 ainda era utilizável em 2023.
Os deveres de notificação fazem parte da resposta a vazamentos; saber de um vazamento e perder a janela de 24 horas para avisar cada vítima é uma falha sancionável separada.
A lição
A segurança segue os orçamentos de manutenção, não os organogramas — um servidor que autentica usuários e roda em software sem suporte é um vazamento à espera de ser atribuído.
CONFIRA AS EVIDÊNCIAS