El organismo de vigilancia de la privacidad de Corea del Sur ha ordenado al proveedor de telecomunicaciones KT Corporation pagar 53.979 millones de KRW (unos 39 millones de dólares) tras concluir que las medidas de seguridad insuficientes permitieron a los ciberdelincuentes comprometer los datos de los clientes y permanecer conectados a la red de la empresa durante casi un año. El regulador también acusó a KT de no haber divulgado adecuadamente un incidente de malware separado que afectó a decenas de servidores internos.
La acción de cumplimiento sigue a una investigación de la Comisión de Protección de Información Personal (PIPC), que comenzó después de que los clientes denunciaran micropagos móviles no autorizados en septiembre de 2025. KT notificó inicialmente a las autoridades que aproximadamente 5.500 clientes estaban afectados, pero los investigadores determinaron posteriormente que la brecha afectó a 16.647 suscriptores. La Comisión indicó que al menos 368 clientes sufrieron transacciones fraudulentas de pago móvil que sumaban aproximadamente 240 millones de KRW (alrededor de 167.400 dólares).
Según la investigación, los atacantes obtuvieron ventaja al explotar un certificado de autenticación legítimo recuperado de una femtocélula perdida propiedad de KT, una pequeña estación base celular utilizada para ampliar la cobertura móvil. Usando ese certificado, configuraron su propio dispositivo para que apareciera como equipo de red confiable, permitiéndole interceptar comunicaciones de dispositivos móviles cercanos conectados a la estación no autorizada.
La Comisión señaló que la información interceptada incluía números de teléfono móvil junto con identificadores IMSI e IMEI. Los investigadores creen que los atacantes combinaron posteriormente esa información con datos personales adicionales e interceptaron SMS y códigos de autenticación automatizados usados para aprobar micropagos móviles, lo que finalmente permitió transacciones fraudulentas.
En lugar de atribuir el compromiso prolongado a una sola vulnerabilidad, el regulador concluyó que múltiples deficiencias de seguridad hicieron posible la intrusión. Entre los problemas identificados estaban los certificados de autenticación que permanecieron válidos durante diez años, restricciones insuficientes en las conexiones de red e infraestructura que permitía a los atacantes comunicarse con los sistemas de KT sin pasar por los controles de gestión habituales. Según la Comisión, esas debilidades permitieron que el acceso no autorizado continuara sin ser detectado durante aproximadamente 11 meses.
Durante la misma investigación, los reguladores descubrieron un compromiso no relacionado que involucraba a 38 servidores en el entorno de servicios informáticos de KT. Esos sistemas habían sido infectados con BPFDoor, una puerta trasera sigilosa previamente vinculada por investigadores de ciberseguridad a campañas de espionaje dirigidas a operadores de telecomunicaciones y otras infraestructuras críticas. La PIPC alega que KT descubrió el malware en marzo de 2024, pero decidió no informar del incidente a las autoridades.
Los investigadores también criticaron la gestión de las pruebas forenses por parte de KT, afirmando que los registros históricos de algunos servidores comprometidos fueron eliminados durante la respuesta interna de la empresa. Como resultado, la Comisión dijo que no podía determinar si se había accedido o robado información adicional de los clientes durante la intrusión de malware.
Además de la sanción económica, el PIPC ordenó a KT reforzar los controles de seguridad que protegen su infraestructura de telecomunicaciones, mejorar la supervisión de la protección de datos personales, ampliar el alcance de su certificación en el Sistema de Gestión de Seguridad de la Información y otorgar a su Director de Privacidad un papel de gobernanza más sustantivo. La Comisión también dijo que tiene la intención de llevar a cabo enmiendas legislativas que impongan sanciones más severas a las organizaciones que oculten incidentes o destruyan pruebas durante investigaciones regulatorias.