韩国PIPC制裁HD现代集团旗下2家企业：移动设备管理系统漏洞成跳板，9503人个人信息外泄

韩国个人信息保护委员会（PIPC）于8月26日召开第17次全体会议，决议对违反个人信息保护法规的HD现代集团旗下2家企业处以7350万韩元罚款及480万韩元过怠料。涉事企业为HD建设机械株式会社与HD韩国造船海洋株式会社。经查，不明身份者于2024年3月利用HD韩国造船海洋运营的移动设备管理（MDM）服务器漏洞上传Web Shell文件，进而登录与该服务器通信的HD建设机械内部业务系统，窃取HD建设机械员工及合作企业员工的姓名、工号等9503人个人信息。调查发现，HD韩国造船海洋的MDM服务器文件上传漏洞安全措施不到位，成为外泄路径；且两家公司系统本无业务关联必要，却未限制相互访问，致使攻击者得以经由HD韩国造船海洋的个人信息处理系统访问HD建设机械的个人信息处理系统。PIPC据此对个人信息实际外泄的HD建设机械处以7350万韩元罚款，对被用作外泄路径的HD韩国造船海洋处以480万韩元过怠料。PIPC同时提醒，个人信息处理者应定期检视安全对策，防止Web漏洞导致个人信息泄露，并以IP等方式限制个人信息处理系统的访问权限，阻断不必要的访问。