A Comissão de Proteção de Informações Pessoais da Coreia do Sul, a PIPC, multou a gigante de telecomunicações KT Corporation em 53,979 bilhões de wons, cerca de US$ 39 milhões, por violações à proteção de dados.
A penalidade foi aplicada após uma invasão à rede interna que persistiu por quase 11 meses, entre 8 de outubro de 2024 e 5 de setembro de 2025.
A PIPC abriu uma investigação sobre uma possível data breach em 10 de setembro de 2025, após relatos de usuários sobre micropagamentos fraudulentos.
No dia seguinte, a empresa apresentou sua notificação inicial de data breach, informando que dados de cerca de 5.500 clientes haviam sido expostos.
A apuração da agência do governo concluiu que o incidente expôs as informações pessoais de 16.647 assinantes da KT e provocou pagamentos móveis fraudulentos de 240 milhões de wons, cerca de US$ 167.400, para ao menos 368 deles.
A KT Corporation é a maior operadora de telecomunicações da Coreia do Sul, oferecendo serviços de comunicação móvel e fixa, internet banda larga, IPTV, cloud, data center e soluções de TI corporativa.
A empresa, que emprega 23.300 pessoas, atende mais de 13,5 milhões de assinantes móveis, 90% dos assinantes de telefonia fixa do país e 45% dos usuários de internet de alta velocidade.
O ponto de entrada da invasão foi uma estação base celular da KT perdida, chamada femtocell, que continha um certificado de autenticação válido.
Os atacantes recuperaram esse certificado e o instalaram em um dispositivo montado por eles, que passou a se comportar como uma parte legítima da rede da KT, capturando o tráfego celular de dispositivos próximos que se conectavam à femtocell falsa.
Isso permitiu aos hackers interceptar comunicações entre os dispositivos dos usuários e a rede central da KT, incluindo números de telefone celular, IMSI e IMEI.
Com o tempo, os atacantes combinaram os dados interceptados com outras informações pessoais e capturaram códigos de autenticação por SMS e ARS usados em pagamentos móveis de baixo valor.
A PIPC observa que a KT instalava as femtocells por conta própria, era totalmente dona dos equipamentos e controlava a autenticação e a autorização da rede.
A comissão afirma que os controles de segurança da KT eram insuficientes porque os certificados das femtocells permaneciam válidos por 10 anos, as conexões não eram restringidas por endereços IP de origem e havia uma rota que contornava o servidor de gerenciamento das femtocells.
Essas fraquezas permitiram que os hackers permanecessem conectados à rede da KT e coletassem dados sensíveis de clientes por 11 meses sem serem detectados.
Durante a investigação, a PIPC também descobriu que 38 servidores da rede de serviços de TI da KT haviam sido comprometidos por malware, incluindo o BPFDoor, em março de 2024.
O BPFDoor é um backdoor furtivo para Linux e Solaris, documentado publicamente em 2022, que passou mais de cinco anos sem ser detectado.
Mais tarde, a PwC vinculou seu uso ao grupo de espionagem Red Menshen, com conexões com a China, que mirava provedores de telecomunicações e organizações de outros setores críticos.
O malware usa a tecnologia Berkeley Packet Filter, ou BPF, para monitorar passivamente o tráfego de rede.
Isso permite que os atacantes ativem o malware com pacotes "mágicos" especialmente preparados, sem abrir portas de escuta, contornando efetivamente proteções de firewall e viabilizando acesso remoto oculto via shell.
A comissão afirma que a KT sabia da infecção por malware desde março de 2024, mas não a reportou às autoridades e tratou o caso internamente, sem transparência com seus clientes.
Mais tarde, a empresa chegou a apagar logs de alguns servidores comprometidos durante a inspeção de malware, após uma breach por malware em outra operadora de telecom, a LG U+.
A LG U+ adotou uma abordagem semelhante de eliminação de evidências, reinstalando o sistema operacional e descartando servidores antes que os investigadores pudessem determinar todo o impacto da brecha.
Como a KT apagou esses logs históricos de rede, a comissão afirma que não foi possível determinar se outros dados de clientes também foram roubados.
Como parte da ação regulatória, a PIPC determinou que a KT fortaleça os controles de segurança para femtocells e outros equipamentos de telecomunicações, reforce a governança da proteção de informações pessoais, garanta que seu Chief Privacy Officer tenha um papel efetivo na supervisão e amplie a certificação ISMS-P para cobrir seus sistemas de rede móvel.
A comissão também anunciou planos para buscar mudanças legislativas que prevejam punições mais severas para empresas que ocultem ou destruam evidências antes ou durante investigações.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...