L’ente di controllo della privacy della Corea del Sud ha ordinato al fornitore di telecomunicazioni KT Corporation di pagare 53,979 miliardi di KRW (circa 39 milioni di dollari) dopo aver concluso che misure di sicurezza inadeguate hanno permesso ai cybercriminali di compromettere i dati dei clienti e rimanere connessi alla rete dell’azienda per quasi un anno. L’autorità ha inoltre accusato KT di non aver divulgato correttamente un incidente malware separato che ha colpito decine di server interni.
L’azione di applicazione segue un’indagine condotta dalla Personal Information Protection Commission (PIPC), iniziata dopo che i clienti hanno segnalato micropagamenti mobili non autorizzati nel settembre 2025. KT ha inizialmente notificato alle autorità che circa 5.500 clienti erano stati colpiti, ma gli investigatori hanno poi stabilito che la violazione ha colpito 16.647 abbonati. La Commissione ha dichiarato che almeno 368 clienti hanno subito transazioni di pagamento mobile fraudolente per un totale di circa 240 milioni di KRW (circa 167.400 dollari).
Secondo l’indagine, gli attaccanti hanno ottenuto un vantaggio sfruttando un certificato di autenticazione legittimo recuperato da una femtocell di proprietà KT persa, una piccola stazione base cellulare usata per estendere la copertura mobile. Utilizzando quel certificato, hanno configurato il proprio dispositivo per apparire come apparecchiatura di rete affidabile, permettendogli di intercettare le comunicazioni da dispositivi mobili vicini collegati alla stazione non autorizzata.
La Commissione ha affermato che le informazioni intercettate includevano numeri di telefono cellulare insieme a identificatori IMSI e IMEI. Gli investigatori ritengono che gli aggressori abbiano successivamente combinato tali informazioni con ulteriori dati personali e intercettato SMS e codici di autenticazione automatica utilizzati per approvare i micropagamenti mobili, permettendo infine transazioni fraudolente.
Invece di attribuire la prolungata compromessa a una singola vulnerabilità, l’ente regolatore ha concluso che molteplici carenze di sicurezza hanno reso possibile l’intrusione. Tra i problemi identificati vi erano certificati di autenticazione rimasti validi per dieci anni, restrizioni insufficienti sulle connessioni di rete e infrastrutture che permettevano agli attaccanti di comunicare con i sistemi di KT senza superare i normali controlli di gestione. Secondo la Commissione, tali debolezze hanno permesso all’accesso non autorizzato di continuare senza essere rilevato per circa 11 mesi.
Durante la stessa indagine, i regolatori hanno scoperto una compromessa non correlata che coinvolgeva 38 server nell’ambiente dei servizi IT di KT. Questi sistemi erano stati infettati da BPFDoor, una backdoor furtiva precedentemente collegata dai ricercatori di cybersecurity a campagne di spionaggio contro operatori di telecomunicazioni e altre organizzazioni infrastrutturali critiche. Il PIPC sostiene che KT abbia scoperto il malware nel marzo 2024 ma abbia scelto di non segnalare l’incidente alle autorità.
Gli investigatori hanno anche criticato la gestione delle prove forensi da parte di KT, affermando che i log storici di alcuni server compromessi sono stati cancellati durante la risposta interna dell’azienda. Di conseguenza, la Commissione ha dichiarato di non poter determinare se ulteriori informazioni dei clienti siano state accedute o rubate durante l’intrusione del malware.
Oltre alla sanzione finanziaria, il PIPC ha ordinato a KT di rafforzare i controlli di sicurezza a protezione della sua infrastruttura di telecomunicazioni, migliorare la supervisione della protezione dei dati personali, ampliare l’ambito della certificazione del Sistema di Gestione della Sicurezza delle Informazioni e conferire al suo Chief Privacy Officer un ruolo di governance più sostanziale. La Commissione ha inoltre dichiarato di intendere perseguire modifiche legislative che impongano sanzioni più severe alle organizzazioni che nascondono incidenti o distruggono prove durante indagini regolatorie.