2026.10.30. The Fair Economy — La Comisión de Protección de Datos Personales decidió imponer una multa total de 3.885 millones de wones (unos 2,8 millones de dólares) a la empresa educativa Daekyo y a la Fundación Médica Yeonghun, cuyos sistemas sufrieron ataques que explotaron vulnerabilidades de sus páginas web y filtraron los datos personales de unos 840.000 usuarios. A Daekyo le corresponden 3.255 millones de wones (unos 2,3 millones de dólares) y a la Fundación Médica Yeonghun, 630 millones de wones (unos 450.000 dólares); además, se ordenó a Daekyo publicar en su sitio web el hecho de haber recibido esta sanción.
La PDP anunció el día 29 que, en su 21ª reunión plenaria celebrada el día 28, aprobó estas medidas contra las dos empresas por incumplir sus obligaciones de seguridad de los datos personales.
Daekyo opera servicios educativos como Nunnopi y Chaihong, mientras que la Fundación Médica Yeonghun administra el Hospital Seon de Daejeon y el Hospital Seon de Yuseong. La Comisión ordenó a Daekyo reforzar las medidas de seguridad de su sistema de tratamiento de datos personales y mejorar su sistema de respuesta ante filtraciones.
Daekyo sufrió dos ataques de hackeo, en agosto de 2024 y en febrero del año pasado, que filtraron los nombres, fechas de nacimiento, números de teléfono móvil e información de conexión (CI) de unos 650.000 usuarios del servicio educativo en línea "Macadamia". Los atacantes subieron un webshell aprovechando una vulnerabilidad web del sitio de una empresa afiliada y ejecutaron un código malicioso.
Daekyo permitió accesos innecesarios que conectaban directamente el servidor web de la empresa afiliada con la base de datos (BD) de usuarios. Tras el primer incidente, la empresa descuidó el análisis y el bloqueo pese a recibir avisos de detección de comportamiento anómalo por parte de su empresa de monitorización de seguridad, y su responsable de protección de datos personales (CPO) también descuidó la supervisión del cumplimiento del plan interno de gestión.
La Fundación Médica Yeonghun sufrió una fuga de los identificadores, contraseñas, nombres, números de teléfono móvil y fechas de nacimiento de 188.481 usuarios en marzo de 2024, a causa de un ataque por vulnerabilidad de inyección SQL en el sitio web del hospital. La fundación había incluido de forma habitual la función de registro de usuarios en su sitio web, que sirve para guiar y reservar citas.
No instalaron un cortafuegos web ni realizaron inspecciones de vulnerabilidades ni validación de valores de entrada. Las contraseñas se cifraron con algoritmos inseguros y sin aplicar el valor de sal (salt), lo que permitió descifrar algunas de ellas. La PDP ordenó a la fundación realizar inspecciones periódicas de vulnerabilidades y mejorarlas.
La presidenta de la Comisión de Protección de Datos Personales, Song Gyeong-hui, declaró en la sesión plenaria sobre Daekyo: "Creo que la gestión de seguridad fue demasiado deficiente en comparación con el volumen de datos personales recopilados y el tamaño de la empresa".
A estas sanciones no se aplican los nuevos criterios de multa establecidos por la Ley de Protección de Datos Personales revisada, que entró en vigor el 11 de septiembre. La ley elevó el límite de las multas por infracciones graves o repetidas del 3% al máximo 10% de la facturación total, pero no se aplica retroactivamente a los incidentes ocurridos antes de su entrada en vigor. Los incidentes de Daekyo y la Fundación Médica Yeonghun en 2024-2025 se tratan según los criterios anteriores.
0 comentarios
Aún no hay comentarios.