LG Uplus 的登入系統跑在已終止支援的軟體上——駭客取走 297,117 份客戶檔案

2023 年 7 月 12 日，韓國個人資訊保護委員會（PIPC）就同年 1 月揭露的資料外洩事件，對 LG Uplus 處以 68 億韓元（約 530 萬美元）的課徵金及 2,700 萬韓元罰款：駭客取走了 297,117 名客戶的個人資料，涵蓋姓名、電話號碼、地址、出生日期及 USIM 識別碼等 26 個欄位。這是韓國當時對企業資料外洩所課的最高課徵金。

委員會將入侵追溯至一套客戶驗證系統，該系統所跑的軟體在推定的事發時間 2018 年 6 月時即已終止支援；基本入侵防禦設備不是付之闕如就是設定錯誤，而 2009 年與 2018 年上傳的網頁後門一直未被發現，就這麼留在伺服器上。另有超過 1,000 萬筆含個人資料的正式環境紀錄，被棄置於開發與測試環境中無人看管。

LG Uplus 另被認定在得知外洩後，未於 24 小時內逐一通知受影響客戶。委員會命令該公司強化其隱私長的職權、重建內部管理計畫、全面檢查系統，並兌現其公開承諾的資訊保護投資。

駭客取走 297,117 份客戶檔案；PIPC 就此資料外洩及未於 24 小時內逐一通知，開罰 68 億韓元，為韓國最高。

驗證系統是電信業者所運行價值最高的目標，卻也是維護得最少的——攻擊者正是專挑維護停擺之處下手。

舊的網頁後門之所以留存，是因為沒有人去找：2009 年植入的立足點，到了 2023 年依然可用。

通知義務是資料外洩應變的一環；已知有外洩卻未在 24 小時內逐一告知每位受害者，是另一項可受裁罰的缺失。

安全跟著維護預算走，而不是跟著組織圖走——一台負責驗證使用者、卻跑在不受支援軟體上的伺服器，就是一場等著被歸咎的資料外洩。