De privacywaakhond van Zuid-Korea heeft telecomprovider KT Corporation opgedragen 53,979 miljard KRW (ongeveer 39 miljoen dollar) te betalen, nadat zij concludeerden dat onvoldoende beveiligingsmaatregelen cybercriminelen in staat stelden klantgegevens te compromitteren en bijna een jaar verbonden te blijven met het netwerk van het bedrijf. De toezichthouder beschuldigde KT er ook van niet correct te hebben gemeld over een apart malwareincident dat tientallen interne servers trof.
De handhavingsmaatregel volgt op een onderzoek door de Personal Information Protection Commission (PIPC), dat begon nadat klanten in september 2025 ongeautoriseerde mobiele microbetalingen hadden gemeld. KT meldde aanvankelijk de autoriteiten dat ongeveer 5.500 klanten waren getroffen, maar onderzoekers stelden later vast dat de inbreuk 16.647 abonnees trof. De Commissie meldde dat minstens 368 klanten frauduleuze mobiele betalingstransacties hebben getroffen ter waarde van ongeveer KRW 240 miljoen (ongeveer $167.400).
Volgens het onderzoek kregen de aanvallers een voordeel door gebruik te maken van een legitiem authenticatiecertificaat dat was teruggevonden uit een verloren femtocell van KT, een klein mobiel basisstation dat werd gebruikt om mobiele dekking uit te breiden. Met dat certificaat configureerden ze hun eigen apparaat om te verschijnen als vertrouwde netwerkapparatuur, waardoor het communicatie kon onderscheppen van nabijgelegen mobiele apparaten die verbonden waren met het rogue station.
De Commissie zei dat de onderschepte informatie mobiele telefoonnummers bevatte, samen met IMSI- en IMEI-identificaties. Onderzoekers denken dat de aanvallers die informatie later combineerden met extra persoonlijke gegevens en SMS- en geautomatiseerde authenticatiecodes onderschepten die werden gebruikt om mobiele microbetalingen goed te keuren, waardoor frauduleuze transacties uiteindelijk mogelijk werden.
In plaats van de langdurige compromittering toe te schrijven aan één kwetsbaarheid, concludeerde de toezichthouder dat meerdere beveiligingstekortkomingen de inbraak mogelijk maakten. Onder de geïdentificeerde problemen waren authenticatiecertificaten die tien jaar geldig bleven, onvoldoende beperkingen op netwerkverbindingen en infrastructuur die het mogelijk maakte dat aanvallers met KT’s systemen konden communiceren zonder door de normale beheerscontroles te gaan. Volgens de Commissie maakten deze zwaktes het mogelijk dat de ongeautoriseerde toegang ongeveer 11 maanden onopgemerkt kon blijven.
Tijdens hetzelfde onderzoek ontdekten toezichthouders een niet-gerelateerd compromis met 38 servers in KT’s IT-dienstenomgeving. Die systemen waren geïnfecteerd met BPFDoor, een sluipende achterdeur die eerder door cyberbeveiligingsonderzoekers werd gelinkt aan spionagecampagnes gericht op telecommunicatiebedrijven en andere kritieke infrastructuurorganisaties. De PIPC beweert dat KT de malware in maart 2024 heeft ontdekt, maar ervoor koos het incident niet aan de autoriteiten te melden.
Onderzoekers bekritiseerden ook de omgang van KT met forensisch bewijs en stelden dat historische logs van enkele gecompromitteerde servers tijdens de interne reactie van het bedrijf waren verwijderd. Daarom zei de Commissie dat zij niet kon vaststellen of er tijdens de malware-inbraak extra klantinformatie was benaderd of gestolen.
Naast de financiële boete beval de PIPC KT om de beveiligingscontroles ter bescherming van de telecommunicatie-infrastructuur te versterken, het toezicht op de bescherming van persoonsgegevens te verbeteren, de reikwijdte van de certificering van het Information Security Management System uit te breiden en de Chief Privacy Officer een meer inhoudelijke bestuursrol te geven. De Commissie zei ook dat zij van plan is wetswijzigingen na te streven die strengere straffen opleggen aan organisaties die incidenten verbergen of bewijs vernietigen tijdens regelgevende onderzoeken.