Daekyo recibe multa de 3.255 millones de pesos y Younghoon Medical Foundation de 630 millones por fuga de datos personales mediante ataques a vulnerabilidades web
Daekyo no detectó ni bloqueó adecuadamente malware ejecutado en dos ocasiones distintas
Younghoon Medical Foundation expone información de aproximadamente 188.000 personas
![Song Kyung-hee, presidenta de la Comisión de Protección de Datos Personales, golpea el mazo durante la vigesimoprimera sesión plenaria de la Comisión celebrada en el edificio del Gobierno de Seúl. [Foto: Comisión de Protección de Datos]](https://image.ajunews.com/content/image/2026/10/29/20261029083549734900.jpg)
La Comisión de Protección de Datos Personales ha impuesto multas por un total de 3.885 millones de pesos a la empresa educativa Daekyo y a la Fundación Médica Younghoon por incumplimiento de obligaciones de seguridad de datos personales. La fuga de información personal se produjo mediante ataques que explotaban vulnerabilidades en aplicaciones web, mientras que las investigaciones revelaron deficiencias en medidas básicas de protección como control de acceso, detección de intrusiones, cifrado de contraseñas y otras salvaguardas elementales.
La Comisión de Protección de Datos celebró una sesión plenaria el día anterior y anunció el 29 de octubre que había acordado imponer una multa de 3.255 millones de pesos a Daekyo por violar normativas de protección de datos personales, y una multa de 630 millones de pesos a la Fundación Médica Younghoon, una entidad de derecho privado dedicada a servicios médicos.
Daekyo es una empresa operadora de servicios educativos en línea y presenciales bajo marcas como Nunophilios y Chaihong, mientras que Younghoon Medical Foundation es una entidad legal que proporciona servicios de atención médica.
Según los resultados de la investigación de la Comisión, Daekyo permitió acceso innecesario que permitía conectar directamente desde servidores web de empresas filiales a la base de datos principal de miembros registrados. Un atacante de identidad desconocida explotó vulnerabilidades en la aplicación web del sitio de la empresa filial, cargó una shell web y ejecutó código malicioso en dos ocasiones distintas, en agosto de 2024 y febrero de 2025.
Daekyo recibió información de detección de seguridad sobre actividades anómalas de la empresa de vigilancia de seguridad durante el primer incidente de fuga, pero negligentó medidas de seguimiento como análisis detallado y bloqueo. La Comisión también confirmó que el responsable de protección de datos personales (CPO) de Daekyo no ejecutó adecuadamente planes de gestión ni inspecciones de facto de medidas de protección de datos personales, incluido el control de acceso que fue la causa del incidente de fuga.
En Younghoon Medical Foundation, en marzo de 2024, información personal de miembros fue extraída mediante un ataque que explotaba una vulnerabilidad de inyección SQL en el sitio web del hospital. La información filtrada incluía identificadores de usuario, contraseñas y nombres, con un alcance de daño aproximado de 188.481 personas afectadas.
De acuerdo con la Comisión de Protección de Datos, Younghoon Medical Foundation recopilaba y procesaba información personal de forma habitual mediante la funcionalidad de registro de miembros en la operación del sitio web. Además, se confirmó que utilizaba un algoritmo de cifrado inseguro al encriptar las contraseñas ingresadas durante el registro de miembros.
La Comisión de Protección de Datos ha recomendado evitar la recopilación de información personal innecesaria, identificar el estado actual de los sistemas de procesamiento de datos personales en operación, y reforzar mecanismos de inspección y respuesta ante ataques de vulnerabilidades web como carga de shells web e inyección SQL.
* Este artículo ha sido traducido por IA.