L’organisme sud-coréen de surveillance de la vie privée a ordonné au fournisseur de télécommunications KT Corporation de verser 53,979 milliards de KRW (environ 39 millions de dollars) après avoir conclu que des mesures de sécurité inadéquates permettaient aux cybercriminels de compromettre les données des clients et de rester connectés au réseau de l’entreprise pendant près d’un an. Le régulateur a également accusé KT de ne pas avoir correctement divulgué un incident de malware distinct qui a affecté des dizaines de serveurs internes.
Cette mesure d’application fait suite à une enquête menée par la Personal Information Protection Commission (PIPC), qui a débuté après que des clients ont signalé des micropaiements mobiles non autorisés en septembre 2025. KT a initialement informé les autorités qu’environ 5 500 clients étaient touchés, mais les enquêteurs ont ensuite déterminé que la violation avait touché 16 647 abonnés. La Commission a indiqué qu’au moins 368 clients avaient subi des transactions frauduleuses de paiement mobile totalisant environ 240 millions de KRW (environ 167 400 $).
Selon l’enquête, les attaquants ont tiré un avantage en exploitant un certificat d’authentification légitime récupéré sur une femtocellule perdue appartenant à KT, une petite station de base cellulaire utilisée pour étendre la couverture mobile. Grâce à ce certificat, ils ont configuré leur propre appareil pour apparaître comme un équipement réseau de confiance, lui permettant d’intercepter les communications provenant d’appareils mobiles proches connectés à la station malhonnête.
La Commission a indiqué que les informations interceptées comprenaient des numéros de téléphone mobile ainsi que des identifiants IMSI et IMEI. Les enquêteurs pensent que les attaquants ont ensuite combiné ces informations avec des données personnelles supplémentaires et intercepté des SMS ainsi que des codes d’authentification automatisés utilisés pour approuver les micropaiements mobiles, permettant finalement des transactions frauduleuses.
Plutôt que d’attribuer ce compromis prolongé à une seule vulnérabilité, le régulateur a conclu que de multiples lacunes de sécurité rendaient cette intrusion possible. Parmi les problèmes identifiés figuraient des certificats d’authentification valides pendant dix ans, des restrictions insuffisantes sur les connexions réseau, et une infrastructure permettant aux attaquants de communiquer avec les systèmes de KT sans passer par les contrôles de gestion normaux. Selon la Commission, ces faiblesses ont permis à l’accès non autorisé de continuer sans être détecté pendant environ 11 mois.
Au cours de la même enquête, les régulateurs ont découvert une compromission sans lien impliquant 38 serveurs dans l’environnement des services informatiques de KT. Ces systèmes avaient été infectés par BPFDoor, une porte dérobée discrète précédemment liée par les chercheurs en cybersécurité à des campagnes d’espionnage visant les opérateurs de télécommunications et d’autres organisations d’infrastructures critiques. Le PIPC affirme que KT a découvert le malware en mars 2024 mais a choisi de ne pas signaler l’incident aux autorités.
Les enquêteurs ont également critiqué la gestion des preuves médico-légales par KT, affirmant que les journaux historiques de certains serveurs compromis avaient été supprimés lors de la réponse interne de l’entreprise. En conséquence, la Commission a déclaré qu’elle ne pouvait pas déterminer si des informations supplémentaires des clients avaient été consultées ou volées lors de l’intrusion de logiciels malveillants.
En plus de la pénalité financière, le PIPC a ordonné à KT de renforcer les contrôles de sécurité protégeant son infrastructure de télécommunications, d’améliorer la surveillance de la protection des données personnelles, d’élargir la portée de sa certification en système de gestion de la sécurité de l’information et de confier à son directeur de la vie privée un rôle de gouvernance plus substantiel. La Commission a également déclaré qu’elle avait l’intention de poursuivre des amendements législatifs qui imposeraient des sanctions plus sévères aux organisations qui dissimulent des incidents ou détruisent des preuves lors d’enquêtes réglementaires.