La Comisión de Protección de Información Personal de Corea del Sur (PIPC) ha multado a KT Corporation, el mayor operador de telecomunicaciones del país, con 53.979 millones de wones (aproximadamente 39 millones de dólares) por violaciones en la protección de datos tras un ciberataque que duró casi 11 meses.
El incidente comenzó el 8 de octubre de 2024 y se prolongó hasta el 5 de septiembre de 2025. La PIPC inició una investigación el 10 de septiembre de 2025 después de que usuarios reportaran micropagos fraudulentos. Al día siguiente, KT notificó la filtración de datos, inicialmente cifrada en unos 5.500 clientes, pero la investigación reveló que se vio comprometida la información personal de 16.647 suscriptores. Al menos 368 de ellos sufrieron pagos móviles fraudulentos por un total de 240 millones de wones (167.400 dólares).
Punto de entrada: una femtocelda perdida
El punto de entrada fue una femtocelda (estación base celular) perdida que contenía un certificado de autenticación válido. Los atacantes recuperaron este certificado y lo instalaron en un dispositivo propio, que se hizo pasar por parte legítima de la red de KT. Esto les permitió interceptar el tráfico celular de dispositivos cercanos, obteniendo números de teléfono, IMSI e IMEI. Luego combinaron estos datos con información personal adicional y capturaron códigos de autenticación SMS y ARS utilizados para micropagos móviles.
La PIPC señala que KT instaló las femtoceldas, era propietaria de los dispositivos y controlaba la autenticación y autorización de la red. Señala que las medidas de seguridad eran inadecuadas: los certificados de las femtoceldas tenían una validez de 10 años, las conexiones no estaban restringidas por direcciones IP de origen y existía una ruta que eludía el servidor de gestión de femtoceldas. Estas debilidades permitieron a los hackers permanecer en la red durante 11 meses sin ser detectados.
Infección por malware BPFDoor
Durante la investigación, la PIPC descubrió que 38 servidores de la red de servicios informáticos de KT estaban comprometidos con malware, incluido BPFDoor, desde marzo de 2024. BPFDoor es una puerta trasera sigilosa para Linux y Solaris, documentada públicamente en 2022, que utiliza tecnología Berkeley Packet Filter (BPF) para monitorear pasivamente el tráfico de red. Los atacantes pueden activarla con paquetes 'mágicos' sin abrir puertos, eludiendo los cortafuegos. Su uso ha sido vinculado al grupo de espionaje Red Menshen, de origen chino, que ataca a proveedores de telecomunicaciones y otros sectores críticos.
La PIPC sostiene que KT tenía conocimiento de la infección desde marzo de 2024, pero no la reportó a las autoridades y la manejó internamente sin transparencia hacia sus clientes. Además, la empresa eliminó registros de algunos servidores comprometidos durante una inspección de malware, tras un incidente similar en LG U+. Debido a la eliminación de esos registros históricos de red, la PIPC no pudo determinar si se robaron datos adicionales de clientes.
Sanciones y medidas correctivas
Como parte de la acción sancionadora, la PIPC ordenó a KT reforzar los controles de seguridad en femtoceldas y otros equipos de telecomunicaciones, fortalecer la gobernanza sobre la protección de información personal, garantizar que su Chief Privacy Officer desempeñe un papel sustantivo en la supervisión y ampliar la certificación ISMS-P para cubrir sus sistemas de red móvil. La Comisión también anunció planes para impulsar cambios legislativos que introduzcan sanciones más severas para las empresas que oculten o destruyan pruebas antes o durante las investigaciones.
Deja una respuesta