Hàn Quốc mạnh tay xử phạt các vi phạm bảo vệ dữ liệu cá nhân

Theo trang tin CHOSUNBIZ, Ủy ban Bảo vệ thông tin cá nhân (PIPC) Hàn Quốc đã xử phạt các công ty thành viên của Samyang Group liên quan đến vụ rò rỉ dữ liệu làm lộ thông tin cá nhân của khoảng 150.000 người sau khi các đơn vị này không thực hiện các biện pháp bảo mật cơ bản như mã hóa số đăng ký cư trú và kiểm soát quyền truy cập máy chủ.

PIPC cho biết trong cuộc họp toàn thể ngày 11/11, cơ quan này đã thông qua quyết định áp dụng tổng tiền phạt hành chính 552 triệu won (khoảng 413.000 USD) , tiền phạt bổ sung 16,2 triệu won (khoảng 12.100 USD) cùng các biện pháp khắc phục đối với bốn công ty thành viên của Samyang Group vì vi phạm luật bảo vệ dữ liệu cá nhân. Các doanh nghiệp bị xử phạt gồm Samyang Holdings, Samyang Corporation, Samyang Packaging và Samyang Data System.

Kết quả điều tra cho thấy vào tháng 7/2022, một tin tặc chưa xác định danh tính đã khai thác lỗ hổng trên máy chủ thư điện tử của Samyang Group để giành quyền quản trị hệ thống. Sau đó, đối tượng này đánh cắp thông tin xác thực của một máy chủ lưu trữ tệp nội bộ được sử dụng trong quá trình di chuyển dữ liệu. Từ máy chủ này, tin tặc đã lấy cắp khoảng 850.000 tệp dữ liệu, tương đương 1,3TB, chứa thông tin cá nhân của 149.767 người, bao gồm nhân viên và cổ đông của Samyang Holdings, Samyang Corporation và Samyang Packaging. Trong số dữ liệu bị lộ có số đăng ký cư trú của 82.750 người.

Theo cơ quan chức năng, Samyang Data System, đơn vị quản lý hệ thống công nghệ thông tin của tập đoàn, đã duy trì kết nối giữa máy chủ lưu trữ tệp với mạng bên ngoài ngay cả khi quá trình di chuyển dữ liệu đã hoàn tất. Điều này tạo điều kiện để tin tặc nhanh chóng chuyển một lượng lớn dữ liệu cá nhân lên nền tảng đám mây bên ngoài.

Ba doanh nghiệp gồm Samyang Holdings, Samyang Corporation và Samyang Packaging được xác định đã không thực hiện đầy đủ các biện pháp bảo vệ thông tin cá nhân theo quy định, trong đó có việc mã hóa số đăng ký cư trú. Ngoài ra, Samyang Holdings và Samyang Packaging không hủy dữ liệu tiền lương của lao động thời vụ sau khi hết thời hạn lưu trữ theo luật định, trong khi Samyang Holdings còn thu thập số đăng ký cư trú của ứng viên tuyển dụng mà không có căn cứ pháp lý.

Các vi phạm cũng được phát hiện trong quá trình thuê ngoài xử lý dữ liệu cá nhân. Tại thời điểm xảy ra sự cố, ba công ty nêu trên đã giao Samyang Data System thực hiện việc xử lý dữ liệu cá nhân, song đến tháng 12/2024 mới ký kết hợp đồng liên quan, tức hơn hai năm sau vụ rò rỉ dữ liệu.

Trên cơ sở đó, PIPC quyết định phạt hành chính 184 triệu won (khoảng 138.000 USD) đối với mỗi công ty gồm Samyang Holdings, Samyang Corporation và Samyang Packaging. Mức phạt bổ sung lần lượt là 9 triệu won (khoảng 6.700 USD) đối với Samyang Holdings, 1,8 triệu won (khoảng 1.350 USD) đối với Samyang Corporation và 5,4 triệu won (khoảng 4.000 USD) đối với Samyang Packaging. Đối với Samyang Data System, cơ quan này ban hành lệnh khắc phục và yêu cầu công khai vi phạm liên quan đến nghĩa vụ bảo mật, trong đó có kiểm soát quyền truy cập hệ thống.

PIPC nhận định nguyên nhân của vụ việc xuất phát từ việc bỏ qua các biện pháp bảo mật cơ bản như để máy chủ không còn sử dụng nhưng vẫn hoạt động và kết nối mạng. Cơ quan này cho rằng việc không mã hóa đầy đủ số đăng ký cư trú cùng tình trạng lưu giữ kéo dài những dữ liệu cá nhân không cần thiết đã làm gia tăng mức độ thiệt hại. Ủy ban đồng thời kêu gọi các doanh nghiệp tuân thủ nghiêm ngặt các nghĩa vụ bảo vệ dữ liệu, bao gồm loại bỏ hoặc ngăn chặn truy cập từ bên ngoài đối với các máy chủ ngừng sử dụng và nhanh chóng hủy bỏ những dữ liệu cá nhân không còn cần thiết.