Le géant suédois de la mode H&M a révélé une fuite de données ayant exposé les informations personnelles de certains de ses clients en Corée du Sud, a annoncé l'entreprise vendredi.

Dans un avis envoyé à ses membres, H&M a indiqué avoir confirmé un incident impliquant un accès non autorisé et une fuite d'informations clients à la suite d'une attaque contre ses systèmes d'entreprise, qui aurait eu lieu vers le 5 août. H&M, dont le nom officiel est Hennes & Mauritz, a son siège à Stockholm et figure parmi les plus grands détaillants de mode au monde ; l'entreprise est présente en Corée du Sud depuis l'ouverture de sa première boutique dans le pays en 2010.

L'entreprise a déclaré avoir agi rapidement pour renforcer ses mesures de sécurité et lancer une enquête après avoir détecté l'attaque. D'après les résultats obtenus à ce jour, les informations compromises comprennent les adresses e-mail, les numéros de téléphone et les références de commandes ou de retours des clients.

H&M a souligné que les informations plus sensibles — notamment les numéros de registre des résidents, les numéros d'identification nationaux de la Corée du Sud, ainsi que les données de cartes de crédit, les informations de paiement et les mots de passe — n'ont pas été affectées. La Corée du Sud a strictement restreint la collecte en ligne des numéros de registre des résidents après des fuites massives passées, héritage d'une longue histoire d'incidents de données à grande échelle dans le pays.

La Corée du Sud encadre le traitement des données par les entreprises dans le cadre de la loi sur la protection des informations personnelles (PIPA), principale loi du pays en matière de vie privée, qui oblige les entreprises victimes d'une fuite à informer les utilisateurs concernés et à signaler l'incident à la Commission de la protection des informations personnelles (PIPC), l'autorité nationale de régulation des données. Un amendement adopté en 2023 a encore renforcé ces obligations, instaurant un délai de notification de 72 heures et des amendes administratives pouvant atteindre 3 pour cent du chiffre d'affaires total en cas de violation. H&M a déclaré avoir également signalé l'incident aux autorités gouvernementales compétentes et prendre des mesures supplémentaires pour prévenir tout nouvel accès non autorisé et réduire les dommages potentiels pour ses clients.

Cette divulgation intervient dans un contexte de fuites de données récentes touchant des entreprises opérant en Corée du Sud. En juin, la plateforme de streaming coréenne Tving a annoncé avoir identifié un accès non autorisé aux informations personnelles de ses utilisateurs.

Dans un avis publié sur son site, Tving a indiqué que les données potentiellement compromises comprenaient les identifiants des utilisateurs, leurs noms, dates de naissance, sexe, numéros de téléphone mobile et adresses e-mail. Les numéros de registre des résidents et les informations liées aux paiements n'ont pas été exposés, a précisé la plateforme.

Ces incidents récents font suite à certaines des plus vastes fuites de données jamais enregistrées, notamment un piratage en 2011 de l'opérateur de portail web SK Communications ayant compromis les données d'environ 35 millions d'utilisateurs, et une fuite en 2014 chez les grandes sociétés de cartes de crédit sud-coréennes affectant des dizaines de millions de clients — des épisodes qui ont été suivis de réformes successives des lois sur la vie privée du pays.

H&M n'a pas précisé combien de clients ont été affectés par cette fuite, l'ampleur de l'incident demeurant l'une des questions en suspens alors que son enquête se poursuit.

Source : Korea Herald Business