Le 28 octobre 2026, la commission sud-coréenne de protection des informations personnelles (PIPC) a prononcé 3,885 milliards de wons d’amendes contre deux organismes : le groupe éducatif Daegyo et la fondation médicale Yeonghun, qui gère deux hôpitaux à Daejeon. Les deux fuites ont une origine voisine, et elle concerne directement la sécurité des sites secondaires. Un site annexe, moins surveillé que le service principal, a ouvert l’accès aux bases de membres.
Daegyo : un site affilié branché sur la base des membres
D’après le communiqué de la PIPC, un attaquant non identifié a exploité une vulnérabilité sur le site web d’une société affiliée. Il y a déposé un webshell, c’est-à-dire un script qui permet de piloter le serveur à distance, puis a exécuté un programme malveillant à deux reprises, en août 2024 et en février 2025. Environ 650 000 membres d’un service d’éducation en ligne sont touchés : noms, dates de naissance, numéros de mobile et identifiant de rattachement utilisé en Corée pour l’authentification.
La commission relève que le serveur web de l’affilié accédait directement à la base des membres de Daegyo, sans que rien ne le justifie. Après la première intrusion, le prestataire de surveillance avait signalé une activité suspecte. Daegyo n’a ni analysé ni bloqué correctement cette alerte, et la même fuite s’est reproduite six mois plus tard. La PIPC reproche aussi au responsable interne de la protection des données de ne pas avoir vérifié l’application du plan de gestion, notamment sur les droits d’accès.
La sanction comprend une amende de 3,255 milliards de wons, une injonction de renforcer la protection des systèmes et le dispositif de réponse aux incidents, et l’obligation de publier la sanction sur le site de l’entreprise.
Yeonghun : injection SQL et mots de passe sans sel
En mars 2024, une injection SQL sur le site des hôpitaux de la fondation a permis d’extraire les données de 188 481 membres : identifiants, mots de passe, noms, numéros de mobile et dates de naissance. Le site ne disposait d’aucun pare-feu applicatif (WAF). Les saisies des formulaires n’étaient pas contrôlées et aucun test de vulnérabilité web n’avait été réalisé. Les mots de passe étaient protégés par un algorithme jugé non sûr, sans sel, et certains ont pu être retrouvés en clair.
La commission note aussi que la fondation créait des comptes membres en ligne par habitude, sans besoin réel. Amende : 630 millions de wons, avec l’obligation de mener des contrôles de vulnérabilité réguliers.
La sécurité des sites secondaires dans un organisme français
Les organismes que j’accompagne ont rarement un seul site. Un service de prévention et de santé au travail gère souvent un site institutionnel, un portail adhérents, un module de prise de rendez-vous, parfois un site d’événement monté par une agence. Une collectivité multiplie les sites thématiques : médiathèque, office de tourisme, centre social. Ces satellites dépendent de prestataires différents, sont mis à jour irrégulièrement, et certains sont reliés à la base principale pour éviter une double saisie.
L’article 32 du RGPD demande des mesures adaptées au risque. Ce risque se mesure sur le système entier, y compris sur le maillon le plus faible. Un site vitrine refait il y a cinq ans, dont plus personne ne suit les mises à jour, peut très bien conserver une connexion vers l’annuaire des adhérents ou vers un outil de messagerie. Personne ne le sait, parce que le développeur a changé de société et que le contrat de maintenance n’a pas été renouvelé.
Ce que l’organisme doit vérifier
- Inventorier tous les sites et applications web, y compris ceux réalisés par une agence ou un partenaire, avec leur hébergeur et leurs connexions vers les bases internes.
- Couper les liaisons directes entre un site public et une base de production. Passer par une interface limitée, avec un compte de service aux droits restreints.
- Vérifier pour chaque formulaire que la collecte est nécessaire. Un compte ouvert sans besoin augmente le volume exposé en cas de fuite.
- Exiger des prestataires des scans de vulnérabilité réguliers et, selon l’exposition, des tests d’intrusion. L’écrire dans le contrat de l’article 28.
- Stocker les mots de passe avec une fonction de hachage lente et salée, comme le demande la fiche de la CNIL sur l’authentification des utilisateurs.
- Désigner qui reçoit les alertes du prestataire de supervision, dans quel délai elles sont analysées et qui décide d’un blocage.
Le dossier Daegyo montre le coût d’une alerte restée sans suite. Dès qu’une violation est constatée, l’article 33 impose de la notifier à la CNIL dans les 72 heures si elle présente un risque pour les personnes, et l’article 34 impose d’informer celles-ci en cas de risque élevé. Une seconde fuite par le même chemin, après une première alerte, laisse peu d’arguments devant une autorité de contrôle.
Les DPO indépendants du réseau DPO FRANCE aident les organismes à cartographier leurs sites et leurs prestataires et à préparer la gestion des violations. Le logiciel DPO SUITE tient l’inventaire des applications et des sous-traitants, le registre des violations et le suivi des délais de notification, avec les preuves associées.
