H&M披露韩国客户数据泄露事件
要点速览
- •H&M确认,其业务系统据信于8月5日前后遭攻击,导致韩国客户信息被未授权访问并泄露。
- •被泄露的数据仅限于电子邮箱地址、电话号码以及订单或退货参考编号;居民登录号、信用卡信息、支付信息和密码未受影响。
- •H&M加强了安全措施,启动了调查,并向韩国相关政府机构报告了此次事件。
- •韩国《个人信息保护法》经2023年修订案收紧后,要求在72小时内通知数据泄露并向个人信息保护委员会(PIPC)报告,并允许对违规行为处以最高相当于总营收3%的行政罚款。
- •H&M尚未披露受影响的客户数量,随着调查继续,泄露事件的规模仍未能确定。
瑞典时装巨头H&M周五表示,该公司披露了一起数据泄露事件,部分韩国客户的个人信息因此外泄。
H&M在发给会员的通知中表示,已确认一起事件:该公司业务系统遭到攻击,导致客户信息被未授权访问并泄露,攻击据信发生在8月5日前后。H&M全称为Hennes & Mauritz,总部位于斯德哥尔摩,是全球最大的时装零售商之一,自2010年在韩国开设首店以来一直保持当地业务布局。
该公司表示,在检测到攻击后,其迅速强化安全措施并启动调查。根据目前的调查结果,被泄露的信息包括客户的电子邮箱地址、电话号码以及订单或退货参考编号。
H&M强调,更敏感的信息——包括居民登录号(韩国国民身份证号码)、信用卡信息、支付信息以及密码——未受影响。在经历过去的大规模数据泄露后,韩国已严格限制在线收集居民登录号,这是该国长期频发大规模数据事故留下的历史产物。
韩国依据《个人信息保护法》(PIPA)监管企业数据处理,这是该国主要的隐私法律,要求发生泄露的企业通知受影响用户,并向国家数据保护监管机构个人信息保护委员会(PIPC)报告事件。2023年的一项修订案进一步收紧了这些义务,新增72小时通知时限,并规定违规者可被处以最高相当于总营收3%的行政罚款。H&M表示,已将此次事件报告给相关政府机构,并正采取额外措施防止再次出现未授权访问,减少对客户可能造成的损害。
此次披露正值在韩运营企业近期接连发生数据泄露事件之际。6月,韩国流媒体平台Tving表示,已发现用户个人信息遭未授权访问。
Tving在其网站上发布的通知中称,可能被泄露的数据包括用户ID、姓名、出生日期、性别、手机号码和电子邮箱地址。该平台表示,居民登录号和支付相关信息未被泄露。
在近期这些事件之前,韩国还发生过一些有记录以来规模最大的数据泄露事件,包括2011年门户网站运营商SK Communications遭黑客攻击、约3500万用户数据被泄露,以及2014年韩国大型信用卡公司发生泄露、影响数千万客户——此后韩国对其隐私法律进行了连续修订。
H&M未披露此次泄露影响了多少客户;随着调查继续,事件规模仍是悬而未决的问题之一。