乐扣乐扣130万人信息遭窃被处以5亿韩元罚款！

安全学习那些事儿

2026年7月10日 15:00
上海

在小说阅读器读本章

去阅读

2026年7月9日，韩国个人信息保护委员会在前一天召开的第13次全体会议上，对乐扣乐扣、UBASE、Sun Photo等3家违反《个人信息保护法》的企业合计处以7.01亿韩元罚款和540万韩元罚金，并决议要求各公司在官网公示相关事实。

调查显示，黑客于2024年4月利用邮件服务器的安全漏洞侵入乐扣乐扣内部系统，并于5月底窃取会员数据库。该黑客又于同年11月再次侵入内部系统，进一步窃取文件服务器中的业务资料等。在此过程中，约130万名会员的个人信息(姓名、手机号、地址等)以及1111条员工个人信息流出至外部。员工泄露信息包括居民身份证、驾驶证、存折复印件等。

个人信息保护委员会说明，乐扣乐扣未能发现并应对泄露过程中出现的异常大流量传输，因此是在收到黑客威胁邮件后才得知泄露事实。并处以5.03亿韩元罚款和540万韩元罚金。

委员会还指出，该公司未修补2022年已公开的安全漏洞，在主要服务器管理员账户上使用相同密码，且未对唯一识别信息进行加密等，存在多项违反安全措施义务的行为。此外，还确认其未删除员工个人信息及已闭店门店购买者信息共4.9466万条。

对于提供企业呼叫中心外包服务的UBASE，委员会处以1.68亿韩元罚款，并命令其在官网公示处罚事实。UBASE于2024年因官网管理员账户遭黑客攻击，导致咨询留言板1852名用户的姓名、电话号码、电子邮箱、公司名称等信息泄露。黑客还将这些信息发布在Telegram上。

调查结果显示，UBASE允许从外部访问管理员页面，却未通过互联网协议地址等方式限制访问权限。此外，其管理员页面在没有安全认证手段的情况下，仅凭账号和密码即可登录，个人信息处理系统访问记录的保存和管理也存在不足。

从事照片和视频设备销售的Sun Photo也在2024年因网站管理员账户遭黑客攻击，导致约17万名会员的个人信息及13条订单信息泄露。泄露的个人信息包括姓名、账号、手机号、性别等。经确认，黑客曾冒充Sun Photo员工，对1名下单者实施语音诈骗。

个人信息保护委员会认为，Sun Photo未通过互联网协议地址等方式限制管理员页面访问权限，也未保存和管理个人信息处理系统访问记录，违反了安全措施义务。因此，对其处以3000万韩元罚款，并要求其在官网公示处罚事实。