KT, qui a subi une fuite massive de données personnelles et des dommages causés par des micropaiements non autorisés via des femtocellules (petites stations de base) illégales, a reçu une amende d'environ 54 milliards de won de la part de la Commission de protection des données personnelles.

En particulier, après que la Commission ait confirmé que KT avait supprimé les journaux après l'incident et fait de fausses déclarations lors de l'enquête, elle a décidé de poursuivre KT pour entrave à l'enquête.

▲ Fuite de données de 16 000 personnes via femtocellules illégales

La Commission de protection des données personnelles a annoncé le 30 que, lors d'une réunion plénière tenue le 29, elle avait imposé à KT une amende de 53,979 millions de won pour violation de la Loi sur la protection des données personnelles, et avait adopté des ordres de correction, des recommandations d'amélioration et des ordres de publication.

Selon les résultats de l'enquête, les pirates informatiques ont extrait un certificat d'une femtocellule KT perdue, l'ont installé sur une femtocellule illégale qu'ils avaient fabriquée eux-mêmes, puis se sont connectés au réseau de téléphonie mobile KT. Ils ont ensuite intercepté les informations de communication circulant entre les terminaux des utilisateurs et le réseau interne pour obtenir les données personnelles.

Les pirates informatiques ont tenté de petits paiements en combinant les informations de communication obtenues avec des données personnelles supplémentaires telles que le nom et la date de naissance, et ont effectué des paiements non autorisés en volant les messages textes d'authentification de paiement (SMS) et le système de réponse automatisée (ARS).

Au cours de ce processus, les numéros de téléphone mobile, le numéro d'identification international de l'abonné mobile (IMSI) et le numéro d'identification de terminal (IMEI) de 16 647 utilisateurs, y compris les abonnés aux téléphones bon marché, ont été divulgués, et 368 personnes ont subi des dommages causés par des micropaiements non autorisés d'environ 240 millions de won.

▲ Pénétration du réseau interne pendant 11 mois… Gestion globale laxiste de la sécurité

La Commission de protection des données personnelles a jugé que cet incident n'était pas simplement du piratage, mais le résultat d'une combinaison complexe d'une gestion de sécurité insuffisante chez KT.

KT avait défini la période de validité du certificat de femtocellule à 10 ans et n'avait pas limité les adresses Internet (IP) accessibles, permettant l'accès depuis l'étranger ou à partir de réseaux d'autres sociétés.

De plus, il existait des chemins permettant de contourner le serveur de gestion des femtocellules, et la gestion des identifiants de cellule (Cell ID) utilisés pour l'accès au réseau central n'était pas correctement effectuée, si bien qu'il n'y avait pratiquement pas de système pour détecter ou bloquer l'accès d'équipements non autorisés.

Exploitant ces failles, les pirates informatiques se sont connectés au réseau interne de KT pendant environ 11 mois sans procédure d'authentification supplémentaire, mais KT n'a détecté l'accès anormal que après qu'une plainte concernant les dommages causés par les micropaiements n'ait été déposée.

Siège de KT à Gwanghwamun [Fourni par KT]Siège de KT à Gwanghwamun [Fourni par KT]

▲ Dissimulation de l'infection par des logiciels malveillants… Traitement interne sans signalement gouvernemental

La Commission de protection des données personnelles a également confirmé un incident distinct d'infection par des logiciels malveillants.

En mars 2024, KT a découvert que 38 serveurs avaient été infectés par des logiciels malveillants tels que la porte dérobée BPF via une vulnérabilité du site Web du service de location de roaming, mais il a été constaté que KT n'avait pas signalé l'incident au gouvernement et avait réagi par ses propres moyens.

De plus, les pirates informatiques ont mené une attaque par injection SQL contre la page d'administration, et il a été confirmé qu'ils avaient consulté et divulgué le nom, le numéro de téléphone et les informations de compte de certains employés de KT et de personnel des entreprises partenaires.

Cependant, comme les journaux réseau n'ont pas été conservés au moment de l'incident, il n'a pas été possible de confirmer s'il y avait une divulgation supplémentaire de données personnelles d'utilisateurs.

▲ Suppression de journaux et fausses déclarations confirmées… Commission de protection des données personnelles décide de poursuivre

L'arrière-plan de l'imposition de la sanction la plus lourde dans cette affaire était l'entrave à l'enquête.

KT a supprimé les journaux de 10 serveurs compromis en avril de l'année dernière au cours d'un processus de vérification de l'infection par des logiciels malveillants.

Dans les premières étapes de l'enquête, KT a déclaré que les documents pertinents n'existaient pas, mais lorsque la Commission de protection des données personnelles a confirmé la suppression des journaux par analyse numérique médico-légale, KT a changé sa déclaration et a soumis tardivement les journaux stockés séparément.

La Commission de protection des données personnelles a jugé cela comme une entrave manifeste à l'enquête et a décidé de poursuivre KT.

▲ LG U également soumise à une enquête… Controverse sur la destruction de preuves

Des mesures distinctes ont également été prises contre LG U dans cette enquête.

La Commission de protection des données personnelles a lancé l'enquête après avoir confirmé la divulgation de données personnelles via un magazine de sécurité américain, et a confirmé que les informations des employés et du personnel des entreprises partenaires étaient en effet des données personnelles stockées dans le système de gestion de mot de passe intégré (APPM).

Cependant, il a été constaté que LG U avait réinstallé le système d'exploitation du serveur APPM ou avait éliminé le serveur avant le début de l'enquête, rendant difficile la confirmation des circonstances exactes de la divulgation et la détermination de tout dommage supplémentaire.

La Commission de protection des données personnelles a jugé que bien que l'action ait eu lieu avant le début de l'enquête et qu'il soit difficile d'appliquer les dispositions relatives à l'entrave à l'enquête en vertu de la Loi sur la protection des données personnelles, elle constitue une obstruction à l'exercice des fonctions officielles, et a décidé de demander une enquête à l'organisme chargé des investigations.

▲ Commission de protection des données personnelles « Renforcement des sanctions contre la destruction de preuves » Poursuivre des réformes institutionnelles

La Commission de protection des données personnelles a décidé de poursuivre des réformes légales et institutionnelles pour améliorer l'efficacité des enquêtes suite à cet incident.

Elle prévoit de promouvoir la révision des lois pertinentes pour permettre des poursuites pénales ou l'imposition d'amendes jusqu'à 3% du chiffre d'affaires total, même en cas de dissimulation ou de destruction de preuves avant le début de l'enquête.

Elle prévoit également d'introduire un système de récompense pour les dénonciations et d'imposer une amende coercitive de 0,3% du chiffre d'affaires quotidien aux exploitants qui refusent de coopérer avec l'enquête ou qui ne respectent pas les ordres de correction.

En outre, la Commission prévoit également de promouvoir l'amendement de la Loi sur la protection des données personnelles pour permettre l'émission immédiate d'ordres de préservation de documents en cas d'incident de violation de données personnelles.