Der schwedische Modekonzern H&M hat eine Datenpanne bekannt gegeben, bei der persönliche Informationen eines Teils seiner Kunden in Südkorea offengelegt wurden, wie das Unternehmen am Freitag mitteilte.

In einer an Mitglieder versandten Mitteilung erklärte H&M, einen Vorfall bestätigt zu haben, bei dem es durch einen Angriff auf seine Geschäftssysteme zu unbefugtem Zugriff auf Kundendaten und zu deren Weitergabe gekommen sei, der vermutlich um den 5. August herum stattfand. H&M, offiziell Hennes & Mauritz, hat seinen Hauptsitz in Stockholm, zählt zu den größten Modehändlern der Welt und ist seit der Eröffnung seiner ersten Filiale dort im Jahr 2010 in Südkorea präsent.

Das Unternehmen erklärte, nach dem Erkennen des Angriffs schnell gehandelt zu haben, seine Sicherheitsmaßnahmen verstärkt und eine Untersuchung eingeleitet zu haben. Nach den bisherigen Erkenntnissen umfassen die kompromittierten Informationen E-Mail-Adressen, Telefonnummern sowie Bestell- oder Retourenreferenznummern der Kunden.

H&M betonte, dass sensiblere Informationen – darunter Einwohnerregistrierungsnummern, die nationalen Identifikationsnummern Südkoreas, sowie Kreditkartendaten, Zahlungsinformationen und Passwörter – nicht betroffen waren. Südkorea hat die Online-Erhebung von Einwohnerregistrierungsnummern nach früheren Massenlecks stark eingeschränkt, eine Folge der langen Geschichte des Landes mit groß angelegten Datenvorfällen.

Südkorea regelt den Umgang von Unternehmen mit Daten durch das Personal Information Protection Act (PIPA), das zentrale Datenschutzgesetz des Landes. Es verlangt von Unternehmen, die von einer Datenpanne betroffen sind, die Benachrichtigung betroffener Nutzer sowie die Meldung des Vorfalls an die Personal Information Protection Commission (PIPC), die nationale Datenschutzbehörde. Eine Novelle aus dem Jahr 2023 verschärfte diese Pflichten zusätzlich, führte eine Meldefrist von 72 Stunden ein und sieht bei Verstößen Verwaltungsbußen von bis zu 3 Prozent des Gesamtumsatzes vor. H&M erklärte, den Vorfall auch den zuständigen Regierungsbehörden gemeldet zu haben, und ergreift zusätzliche Maßnahmen, um weitere unbefugte Zugriffe zu verhindern und potenzielle Schäden für Kunden zu begrenzen.

Die Offenlegung erfolgt vor dem Hintergrund einer Reihe jüngerer Datenpannen bei Unternehmen, die in Südkorea tätig sind. Im Juni erklärte die koreanische Streaming-Plattform Tving, unbefugten Zugriff auf persönliche Informationen von Nutzern festgestellt zu haben.

In einer auf seiner Website veröffentlichten Mitteilung erklärte Tving, zu den potenziell kompromittierten Daten gehörten Nutzer-IDs, Namen, Geburtsdaten, Geschlecht, Mobiltelefonnummern und E-Mail-Adressen. Einwohnerregistrierungsnummern und zahlungsbezogene Informationen seien nicht offengelegt worden, so der Streamingdienst.

Die jüngsten Vorfälle folgen auf einige der größten jemals verzeichneten Datenpannen, darunter ein Hack beim Webportal-Betreiber SK Communications im Jahr 2011, bei dem Daten von rund 35 Millionen Nutzern kompromittiert wurden, sowie ein Leak bei großen südkoreanischen Kreditkartenunternehmen im Jahr 2014, das Kunden im zweistelligen Millionenbereich betraf – Episoden, auf die sukzessive Überarbeitungen der Datenschutzgesetze des Landes folgten.

H&M gab nicht bekannt, wie viele Kunden von der Datenpanne betroffen sind, sodass das Ausmaß des Vorfalls zu den offenen Fragen zählt, während die Untersuchung andauert.

Quelle: Korea Herald Business