Szwedzki gigant modowy H&M ujawnił naruszenie ochrony danych, w wyniku którego doszło do ujawnienia części danych osobowych jego klientów w Korei Południowej — poinformowała w piątek firma.

W powiadomieniu wysłanym do członków H&M oświadczyła, że potwierdziła incydent obejmujący nieautoryzowany dostęp do informacji o klientach i ich wyciek w wyniku ataku na systemy biznesowe firmy, który — jak się przypuszcza — nastąpił około 5 sierpnia. H&M, oficjalnie znana jako Hennes & Mauritz, ma siedzibę w Sztokholmie i działa jako jeden z największych sprzedawców mody na świecie, a obecna jest w Korei Południowej od otwarcia pierwszego sklepu w tym kraju w 2010 roku.

Firma poinformowała, że po wykryciu ataku szybko przystąpiła do wzmocnienia środków bezpieczeństwa i wszczęcia dochodzenia. Na podstawie dotychczasowych ustaleń naruszone informacje obejmują adresy e-mail klientów, numery telefonów oraz numery referencyjne zamówień lub zwrotów.

H&M podkreśliła, że bardziej wrażliwe informacje — w tym numery rejestracji mieszkańców, będące południowokoreańskimi krajowymi numerami identyfikacyjnymi, a także dane kart kredytowych, informacje płatnicze i hasła — nie zostały naruszone. Korea Południowa znacznie ograniczyła zbieranie numerów rejestracji mieszkańców w internecie po dawnych masowych wyciekach, będących spuścizną długiej historii incydentów dotyczących danych na dużą skalę w tym kraju.

Korea Południowa reguluje przetwarzanie danych przez firmy na podstawie ustawy o ochronie danych osobowych (Personal Information Protection Act, PIPA) — głównej ustawy tego kraju dotyczącej prywatności — która nakazuje firmom dotkniętym naruszeniem powiadomienie poszkodowanych użytkowników oraz zgłoszenie incydentu Komisji Ochrony Danych Osobowych (Personal Information Protection Commission, PIPC), krajowemu regulatorowi ochrony danych. Nowelizacja z 2023 roku dodatkowo zaostrzyła te obowiązki, wprowadzając 72-godzinny termin powiadomienia oraz kary administracyjne sięgające do 3 procent całkowitego przychodu za naruszenia. H&M poinformowała, że zgłosiła również incydent właściwym organom rządowym i podejmuje dodatkowe środki, aby zapobiec dalszemu nieautoryzowanemu dostępowi i ograniczyć ewentualne szkody dla klientów.

Ujawnienie przypadło na okres serii ostatnich naruszeń ochrony danych dotyczących firm działających w Korei Południowej. W czerwcu koreańska platforma streamingowa Tving poinformowała, że wykryła nieautoryzowany dostęp do danych osobowych użytkowników.

W komunikacie opublikowanym na swojej stronie internetowej Tving oświadczyła, że potencjalnie naruszone dane obejmowały identyfikatory użytkowników, imiona i nazwiska, daty urodzenia, płeć, numery telefonów komórkowych oraz adresy e-mail. Numery rejestracji mieszkańców i informacje związane z płatnościami nie zostały ujawnione — oświadczyła platforma streamingowa.

Ostatnie incydenty następują po niektórych z największych odnotowanych na świecie naruszeń ochrony danych, w tym po ataku hakerskim z 2011 roku na operatora portalu internetowego SK Communications, który objął dane około 35 milionów użytkowników, oraz po wycieku z 2014 roku w dużych południowokoreańskich firmach obsługujących karty kredytowe, dotyczącym dziesiątek milionów klientów — zdarzenia te skutkowały kolejnymi gruntownymi zmianami przepisów o prywatności w tym kraju.

H&M nie ujawniła, ilu klientów dotyczyło naruszenie, przez co skala incydentu pozostaje jedną z otwartych kwestii w toku prowadzonego dochodzenia.

Źródło: Korea Herald Business