Güney Kore’nin gizlilik gözetimcisi, yetersiz güvenlik önlemlerinin siber suçluların müşteri verilerini ele geçirmesine ve şirketin ağına bağlı kalmasına neredeyse bir yıl boyunca izin verdiği sonucuna vardıktan sonra, telekomünikasyon sağlayıcısı KT Corporation’a 53,979 milyar KRW (yaklaşık 39 milyon dolar) ödeme emri verdi. Düzenleyici ayrıca KT’yi onlarca dahili sunucuyu etkileyen ayrı bir kötü amaçlı yazılım olayını doğru şekilde açıklamamakla suçladı.
Yaptırım işlemi, Eylül 2025’te müşterilerin yetkisiz mobil mikro ödemeleri bildirmesinin ardından başlayan Kişisel Bilgi Koruma Komisyonu (PIPC) tarafından yürütülen bir soruşturmanın ardından gerçekleşti. KT başlangıçta yaklaşık 5.500 müşterinin etkilendiğini yetkililere bildirdi, ancak soruşturmacılar daha sonra ihlalın 16.647 aboneyi etkilediğini belirledi. Komisyon, en az 368 müşterinin yaklaşık 240 milyon KRW (yaklaşık 167.400 dolar) tutarında sahte mobil ödeme işlemlerine maruz kaldığını belirtti.
Soruşturmaya göre, saldırganlar, mobil kapsamayı genişletmek için kullanılan küçük bir mobil baz istasyonu olan KT’ye ait küçük bir baz istasyonu olan kayıp bir femtocell’den kurtarılan meşru kimlik doğrulama sertifikasından faydalanarak avantaj elde ettiler. Bu sertifikayı kullanarak, kendi cihazlarını güvenilir ağ ekipmanı gibi gösterecek şekilde yapılandırdılar ve böylece haydut istasyona bağlı yakınlardaki mobil cihazlardan gelen iletişimleri yakalayabiliyorlardı.
Komisyon, ele geçirilen bilgilerin cep telefonu numaralarını, IMSI ve IMEI tanımlayıcılarını içerdiğini belirtti. Soruşturmacılar, saldırganların daha sonra bu bilgileri ek kişisel verilerle birleştirip mobil mikro ödemeleri onaylamak için kullanılan SMS ve otomatik kimlik doğrulama kodlarını ele geçirdiğine inanıyor; bu da nihayetinde sahte işlemlere olanak sağladı.
Düzenleyici, uzun süren tehlikeyi tek bir güvenlik açığına bağlamak yerine, birden fazla güvenlik eksikliğinin müdahaleyi mümkün kıldığını sonucuna vardı. Tespit edilen sorunlar arasında on yıl boyunca geçerli kalan kimlik doğrulama sertifikaları, ağ bağlantılarında yetersiz kısıtlamalar ve saldırganların normal yönetim kontrollerinden geçmeden KT sistemleriyle iletişim kurmasına olanak tanıyan altyapı vardı. Komisyon’a göre, bu zayıflıklar, yetkisiz erişimin yaklaşık 11 ay boyunca fark edilmeden devam etmesine olanak sağladı.
Aynı soruşturma sırasında, düzenleyiciler KT’nin BT hizmetleri ortamında 38 sunucuyla ilgili alakasız bir tehlikeyi ortaya çıkardı. Bu sistemler, daha önce siber güvenlik araştırmacıları tarafından telekomünikasyon operatörlerini ve diğer kritik altyapı kuruluşlarını hedef alan casusluk kampanyalarına bağlanan gizli bir arka kapı BPFDoor ile enfekte edilmişti. PICC, KT’nin Mart 2024’te zararlı yazılımı keşfettiğini ancak olayı yetkililere bildirmemeyi tercih ettiğini iddia ediyor.
Soruşturmacılar ayrıca KT’nin adli delilleri ele almasını eleştirerek, şirketin iç müdahalesi sırasında bazı tehlikeye girmiş sunuculardan tarihsel kayıtların silindiğini belirtti. Sonuç olarak, Komisyon, kötü amaçlı yazılım müdahalesi sırasında ek müşteri bilgilerine erişilip erişilmediğini veya çalındığını belirleyemediğini belirtti.
Mali cezaya ek olarak, PIPC KT’ye telekomünikasyon altyapısını koruyan güvenlik kontrollerini güçlendirmesini, kişisel veri korumasının denetimini iyileştirmesini, Bilgi Güvenliği Yönetim Sistemi sertifikasının kapsamını genişletmesini ve Baş Gizlilik Sorumlusuna daha anlamlı bir yönetişim rolü vermesini emretti. Komisyon ayrıca, düzenleyici soruşturmalar sırasında olayları gizleyen veya delilleri yok eden kuruluşlara daha sert cezalar uygulayacak yasal değişiklikler uygulamayı planladığını belirtti.