KT, principal opérateur de télécommunications sud-coréen, écope d’une amende de 54 milliards de wons pour une violation de données

Les géants des télécommunications sont sanctionnés: KT, Vodafone et TIM encourent plus de 10 millions d’euros d’amendes pour une gestion négligente des données et des artifices contractuels. Mais ça empire — Lotte Card est contrainte de suspendre ses activités pendant 6 semaines, tandis que la Poste autrichienne paie un prix de 13 millions d’euros pour avoir vendu vos secrets politiques.

La Corée du Sud amende KT de près de 54 milliards de wons pour une importante fuite de données clients

La Commission sud-coréenne de protection des données personnelles (PIPC) a infligé une amende de 53,979 milliards de wons, soit environ 33,6 millions d’euros, à l’opérateur de télécommunications KT Corporation pour de graves manquements en matière de protection des données.

L’enquête a révélé que des pirates informatiques avaient eu accès au réseau interne de KT pendant près de 11 mois, d’octobre 2024 à septembre 2025. Au cours de cette période, les données personnelles de 16 647 clients ont été exposées. Au moins 368 clients ont été victimes de micropaiements mobiles frauduleux, pour un montant total de 240 millions de wons (environ 149 000 euros).

Selon le PIPC, l’attaque a débuté lorsque des pirates ont obtenu une femtocell de KT perdue, une petite station de base cellulaire utilisée pour couvrir les zones à faible signal sans fil. L’appareil contenait un certificat d’authentification valide, que les attaquants ont copié sur un appareil factice. Cela a permis à celui-ci de se faire passer pour un élément du réseau de KT et d’intercepter les données des téléphones mobiles à proximité. Les attaquants ont collecté des informations sensibles, notamment les numéros de téléphone, ainsi que les numéros IMSI et IMEI des clients. Ils ont ensuite combiné ces informations avec des SMS interceptés et des codes de vérification automatisés par téléphone pour effectuer des paiements mobiles frauduleux.

La commission a indiqué que les mesures de sécurité de KT n'étaient pas suffisamment robustes. Les certificats d'authentification des femtocells restaient valides pendant 10 ans, les connexions réseau n'étaient pas limitées par les adresses IP sources, et une route système permettait aux attaquants de contourner les contrôles de sécurité normaux. Au cours de l'enquête, la PIPC a également constaté que 38 serveurs du réseau informatique de services de KT avaient été infectés par des malwares, notamment la porte dérobée BPFDoor, dès mars 2024. La commission a indiqué que KT connaissait la présence de ces malwares mais ne l'avait pas signalée aux autorités, préférant gérer l'incident en interne.

L'autorité de surveillance a également indiqué que KT avait supprimé des journaux réseau lors de l'analyse du logiciel malveillant. Certains enregistrements ayant été effacés, la commission a déclaré ne pas pouvoir déterminer si d'autres données clients avaient été volées.

Dans le cadre de cette mesure coercitive, la PIPC a ordonné à KT de renforcer la sécurité des femtocellules et d’autres équipements de télécommunications, d’améliorer son système de protection des données à caractère personnel, de conférer à son responsable principal de la protection de la vie privée un rôle de surveillance renforcé, et d’étendre sa certification ISMS-P aux systèmes de réseau mobile.

Un tribunal autrichien maintient une amende de 13 millions d'euros contre un courtier en données pour vente illégale de données

La Cour administrative suprême autrichienne (VwGH) a confirmé qu’Österreichische Post doit payer une amende administrative de 13 millions d’euros pour traitement et vente illégaux de données sur les affiliations politiques présumées de 2,2 millions d’Autrichiens. La Cour a également statué que l’entreprise n’a à payer que 100 000 euros de frais administratifs au lieu de 10 % de l’amende. Cette décision met fin à l’affaire après trois phases de procédure devant la VwGH (affaire n° Ro 2025/04/0007).

Cette affaire découle du traitement de données entre mai 2018 et février 2019, période durant laquelle Österreichische Post, agissant en tant que courtier en données, a vendu des données relatives aux affinités politiques estimées sans le consentement des personnes concernées. En 2019, l’autorité autrichienne de protection des données a infligé à l’entreprise une amende de 18 millions d’euros pour cette pratique.

À la suite de plusieurs recours, la VwGH avait confirmé que l'affiliation politique constituait une donnée à caractère personnel sensible. L'amende avait été brièvement annulée au motif que l'autorité n'avait pas identifié les personnes responsables au sein de l'entreprise, but elle a été rétablie après que la Cour de justice de l'Union européenne eut précisé que cela n'était pas requis pour les amendes infligées à des personnes morales.

La Cour a également rejeté l'argument de l'entreprise selon lequel l'amende devait être basée uniquement sur le chiffre d'affaires lié à l'infraction. Elle a confirmé que le chiffre d'affaires annuel du groupe constitue la base correcte pour le calcul des amendes au titre du RGPD, conformément aux lignes directrices de 2022 de l'EDPB. En fin de compte, la VwGH a fixé l'amende finale à 13 millions d'euros tout en réduisant les frais administratifs à 100 000 euros.

L'autorité de régulation portugaise inflige une amende de 160 000 € à Vodafone pour des modifications contractuelles

Le régulateur des communications portugais, ANACOM, a infligé une amende de 160 000 € à Vodafone pour avoir modifié les contrats clients sans fournir le préavis requis.

Selon le régulateur, Vodafone a modifié ses conditions contractuelles pour inclure la publicité obligatoire dans son service d'enregistrement automatique de programmes TV pour environ 449 000 abonnés. ANACOM a indiqué que l'entreprise n'avait pas fourni aux clients au moins 30 jours de préavis écrit et ne les avait pas informés qu'ils pouvaient résilier leur contrat sans frais supplémentaires s'ils n'acceptaient pas les nouvelles conditions.

L’autorité de régulation a précisé que cette décision s’appuyait sur les règles issues de l’ancienne loi sur les communications électroniques (LCE), notamment son article 48, alinéa 16, qui protégeait les droits des clients en cas de modification des conditions contractuelles.

En vertu de la législation en vigueur, les opérateurs télécoms doivent toujours informer les clients des modifications contractuelles au moins un mois à l’avance, via un format clair et permanent, et leur expliquer leur droit de résilier le contrat sans pénalités. Vodafone a fait appel de cette décision devant le Tribunal portugais de la concurrence, de la réglementation et de la supervision.

L'Italie inflige une amende de 9,516 millions d'euros à TIM pour violation des règles de vie privée et de télémarketing

L’Autorité italienne de protection des données (Garante per la protezione dei dati personali) a infligé une amende de 9,516 millions d’euros au plus grand opérateur de télécommunications du pays, TIM, pour violation des règles relatives à la vie privée et au télémarketing, à la suite d’une enquête sur des centres d’appels non autorisés ayant effectué des appels promotionnels pour le compte de l’entreprise.

L'enquête a été engagée après la réception, par les autorités, de 7 000 plaintes en 2025 concernant des appels commerciaux indésirables, dont beaucoup utilisaient des numéros de téléphone usurpés ou non enregistrés auprès du régulateur des télécommunications italien. Bon nombre de ces appels visaient également des personnes inscrites au Registre public des oppositions pour éviter le télémarketing.

L’Autorité a constaté que les centres d’appel utilisaient un stratagème pour faire apparaître leurs activités de vente comme légitimes. Les utilisateurs recevaient des SMS émanant de numéros de téléphone masqués, avec des liens vers des formulaires sur le site web d’un partenaire officiel de TIM. Une fois les formulaires remplis, les centres d’appel les recontactaient en utilisant des numéros enregistrés, créant l’apparence d’une demande client valide.

L’Autorité a indiqué que l’entreprise n’avait pas correctement surveillé ses partenaires commerciaux et n’avait pas veillé au respect des règles de confidentialité au sein de l’ensemble de son réseau de télémarketing. Elle a également constaté que TIM négligeait souvent de répondre aux demandes des clients d’accès, de suppression ou d’opposition à l’utilisation de leurs données à caractère personnel, et rendait inutilement difficile pour les utilisateurs de se désabonner du marketing.

Outre cette sanction, TIM a reçu l’ordre d’améliorer son processus de génération de prospects, de renforcer la surveillance de son réseau de ventes et de mettre à jour ses procédures relatives au respect des droits des clients en matière de confidentialité.

La Corée du Sud inflige une amende de 5 Mds de ₩ à Lotter Card pour une fuite de données

L’autorité de surveillance des services financiers sud-coréenne a infligé une amende de 5 milliards de wons (un peu plus de 3 millions d’euros) à Lotte Card, l’une des principales sociétés de crédit et de services financiers du pays, en vertu de la loi sur les activités financières de crédit spécialisées et de la loi sur l’utilisation et la protection des informations de crédit, à la suite du piratage survenu en août 2025 qui a entraîné la fuite des informations de crédit de 2,97 millions de clients.

Par ailleurs, les activités de la société seront suspendues pendant un mois et demi. C’est la première fois dans le pays qu’une telle mesure est imposée en réponse à un incident de piratage.

Le Service de surveillance financière a ouvert une enquête en septembre dernier après que Lotte Card a signalé aux autorités financières une fuite d'informations liée à un piratage.

L’inspection a révélé plusieurs violations des exigences de sécurité prévues par la Loi sur les activités de crédit spécialisé et financier et la Loi sur l'utilisation et la protection des informations de crédit. Ces violations incluaient l'absence d'application des patches de sécurité aux systèmes d’information, le défaut de chiffrement des numéros d’identification des résidents et des mots de passe, ainsi que l'absence de logiciels antivirus lors de l’exploitation du système de paiement en ligne de Lotte Card.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat