Het Zuid-Koreaanse huwelijks- en relatiebureau Duo heeft wegens een gevoelig datalek, veroorzaakt door malware, een boete van omgerekend 690.000 euro gekregen. Begin vorig jaar raakte het werkstation van een medewerker besmet met malware. Op de besmette machine wist de aanvaller inloggegevens van de database-server te stelen en kon vervolgens de persoonlijke informatie van meer dan 427.000 leden stelen. De buitgemaakte data werd vervolgens op internet gepubliceerd.

Het ging onder andere om kopieën van identiteitsbewijzen, wachtwoordhashes, namen, geboortedatums, geslacht, e-mailadres, telefoonnummers, adresgegevens, lengte, gewicht, bloedgroep, geloofsovertuiging, hobby's, huwelijksverleden en gegevens over opleiding en werk. Volgens de Zuid-Koreaanse privacytoezichthouder PIPC had Duo nagelaten om verschillende beveiligingsmaatregelen in te voeren. Het ging onder andere om adequate toegangsbeveiliging en gebruik van kwetsbare hashing-algoritmes.

Verder bleek dat gegevens zonder geldige grondslag werden verzameld en opgeslagen. Ook werden gegevens langer bewaard dan in het privacybeleid stond vermeld. Daarnaast meldde Duo het datalek niet op tijd bij de Zuid-Koreaanse privacytoezichthouder en werden getroffen leden niet ingelicht. Naast het opleggen van de boete heeft de PIPC het relatiebureau ook opgedragen om slachtoffers van het datalek te informeren, de beveiliging aan te scherpen en dataminimalisatie toe te passen.