Die südkoreanische Datenschutzbehörde hat den Telekommunikationsanbieter KT Corporation verpflichtet, 53,979 Milliarden KRW (etwa 39 Millionen US-Dollar) zu zahlen, nachdem sie zu dem Schluss kam, dass unzureichende Sicherheitsmaßnahmen es Cyberkriminellen ermöglichten, Kundendaten zu kompromittieren und fast ein Jahr lang mit dem Netz des Unternehmens verbunden zu bleiben. Die Aufsichtsbehörde warf KT außerdem vor, einen separaten Malware-Vorfall, der Dutzende interne Server betraf, nicht ordnungsgemäß offengelegt zu haben.
Die Durchsetzungsmaßnahme folgt auf eine Untersuchung der Personal Information Protection Commission (PIPC), die begann, nachdem Kunden im September 2025 unautorisierte mobile Mikrozahlungen gemeldet hatten. KT informierte die Behörden zunächst darüber, dass etwa 5.500 Kunden betroffen waren, doch später stellten Ermittler fest, dass der Datenbruch 16.647 Abonnenten betraf. Die Kommission gab an, dass mindestens 368 Kunden betrügerische mobile Zahlungstransaktionen in Höhe von insgesamt etwa 240 Millionen KRW (etwa 167.400 US-Dollar) erlitten haben.
Laut der Untersuchung erlangten die Angreifer einen Vorteil, indem sie ein legitimes Authentifizierungszertifikat ausnutzten, das von einem verlorenen, von KT betriebenen Femtocell geborgen wurde, einer kleinen Mobilfunkbasisstation, die zur Erweiterung der Mobilfunkabdeckung genutzt wurde. Mit diesem Zertifikat konfigurierten sie ihr eigenes Gerät so, dass es als vertrauenswürdiges Netzwerkgerät erschien, was es ermöglichte, Kommunikation von nahegelegenen mobilen Geräten abzufangen, die mit der abtrünnigen Station verbunden waren.
Die Kommission erklärte, dass die abgefangenen Informationen Mobiltelefonnummern sowie IMSI- und IMEI-Kennungen enthielten. Die Ermittler gehen davon aus, dass die Angreifer diese Informationen später mit zusätzlichen persönlichen Daten kombinierten und SMS- sowie automatisierte Authentifizierungscodes abfingen, die zur Genehmigung mobiler Mikrozahlungen verwendet wurden, was letztlich betrügerische Transaktionen ermöglichte.
Anstatt die langanhaltende Kompromittierung auf eine einzelne Schwachstelle zurückzuführen, kam die Aufsichtsbehörde zu dem Schluss, dass mehrere Sicherheitsmängel den Einbruch möglich machten. Zu den identifizierten Problemen gehörten Authentifizierungszertifikate, die zehn Jahre gültig blieben, unzureichende Beschränkungen für Netzwerkverbindungen und eine Infrastruktur, die es Angreifern ermöglichte, mit KTs Systemen zu kommunizieren, ohne die normalen Verwaltungskontrollen zu durchlaufen. Diese Schwächen, so die Kommission, ermöglichten es dem unbefugten Zugang, unbemerkt etwa 11 Monate lang unentdeckt zu bleiben.
Während derselben Untersuchung entdeckten die Regulierungsbehörden einen nicht zusammenhängenden Kompromiss, der 38 Server in KTs IT-Service-Umgebung betraf. Diese Systeme waren mit BPFDoor infiziert, einer heimlichen Hintertür, die zuvor von Cybersicherheitsforschern mit Spionagekampagnen gegen Telekommunikationsbetreiber und andere kritische Infrastrukturorganisationen in Verbindung gebracht wurde. Das PIPC behauptet, KT habe die Malware im März 2024 entdeckt, sich aber entschieden, den Vorfall nicht den Behörden zu melden.
Ermittler kritisierten außerdem KTs Umgang mit forensischen Beweisen und erklärten, dass historische Protokolle einiger kompromittierter Server während der internen Reaktion des Unternehmens gelöscht wurden. Daher erklärte die Kommission, sie könne nicht feststellen, ob während des Malware-Einbruchs zusätzliche Kundeninformationen abgerufen oder gestohlen wurden.
Zusätzlich zur finanziellen Strafe ordnete der PIPC an, dass KT die Sicherheitskontrollen zum Schutz seiner Telekommunikationsinfrastruktur verstärkt, die Aufsicht über den Schutz personenbezogener Daten verbessert, den Umfang der Zertifizierung des Informationssicherheitsmanagementsystems ausweitet und seinem Chief Privacy Officer eine substanziellere Governance-Rolle einräumt. Die Kommission erklärte außerdem, sie beabsichtige, gesetzliche Änderungen voranzutreiben, die strengere Strafen für Organisationen verhängen würden, die Vorfälle verbergen oder Beweise während regulatorischer Untersuchungen vernichten.