O órgão de fiscalização da privacidade da Coreia do Sul ordenou que a operadora de telecomunicações KT Corporation pagasse KRW 53,979 bilhões (cerca de 39 milhões de dólares) após concluir que medidas de segurança inadequadas permitiram que cibercriminosos comprometessem os dados dos clientes e permanecessem conectados à rede da empresa por quase um ano. O regulador também acusou a KT de não divulgar adequadamente um incidente de malware separado que afetou dezenas de servidores internos.
A ação de fiscalização segue uma investigação da Comissão de Proteção de Informações Pessoais (PIPC), que começou após clientes relatarem micropagamentos móveis não autorizados em setembro de 2025. A KT inicialmente notificou as autoridades de que aproximadamente 5.500 clientes estavam afetados, mas os investigadores posteriormente determinaram que a violação afetou 16.647 assinantes. A Comissão afirmou que pelo menos 368 clientes sofreram transações fraudulentas de pagamento móvel, totalizando aproximadamente KRW 240 milhões (cerca de $167.400).
De acordo com a investigação, os atacantes ganharam vantagem ao explorar um certificado de autenticação legítimo recuperado de uma femtocélula perdida pertencente à KT, uma pequena estação base celular usada para estender a cobertura móvel. Usando esse certificado, eles configuraram seu próprio dispositivo para parecer como equipamento de rede confiável, permitindo interceptar comunicações de dispositivos móveis próximos conectados à estação desonesta.
A Comissão afirmou que as informações interceptadas incluíam números de telefone celular junto com identificadores IMSI e IMEI. Investigadores acreditam que os atacantes posteriormente combinaram essas informações com dados pessoais adicionais e interceptaram SMS e códigos de autenticação automatizados usados para aprovar micropagamentos móveis, permitindo transações fraudulentas.
Em vez de atribuir o compromisso prolongado a uma única vulnerabilidade, o regulador concluiu que múltiplas falhas de segurança tornaram a intrusão possível. Entre os problemas identificados estavam certificados de autenticação que permaneceram válidos por dez anos, restrições insuficientes nas conexões de rede e infraestrutura que permitia aos atacantes se comunicar com os sistemas da KT sem passar pelos controles normais de gerenciamento. Essas fraquezas, segundo a Comissão, permitiram que o acesso não autorizado continuasse sem ser detectado por aproximadamente 11 meses.
Durante a mesma investigação, os reguladores descobriram um compromisso não relacionado envolvendo 38 servidores no ambiente de serviços de TI da KT. Esses sistemas haviam sido infectados com o BPFDoor, uma porta dos fundos discreta anteriormente ligada por pesquisadores de cibersegurança a campanhas de espionagem que visavam operadoras de telecomunicações e outras organizações críticas de infraestrutura. O PIPC alega que a KT descobriu o malware em março de 2024, mas optou por não relatar o incidente às autoridades.
Investigadores também criticaram o tratamento da KT com as evidências forenses, afirmando que logs históricos de alguns servidores comprometidos foram deletados durante a resposta interna da empresa. Como resultado, a Comissão disse que não conseguiu determinar se informações adicionais dos clientes foram acessadas ou roubadas durante a invasão de malware.
Além da penalidade financeira, a PIPC ordenou que a KT fortalecesse os controles de segurança que protegem sua infraestrutura de telecomunicações, melhorasse a supervisão da proteção de dados pessoais, ampliasse o escopo da certificação do Sistema de Gestão de Segurança da Informação e concedesse ao seu Diretor de Privacidade um papel de governança mais substancial. A Comissão também afirmou que pretende buscar emendas legislativas que imponham penalidades mais severas às organizações que ocultarem incidentes ou destruírem provas durante investigações regulatórias.