Le régulateur sud-coréen de la vie privée inflige une amende de 53,98 milliards de wons à KT pour une fuite de données liée au système femtocell
Points clés
- •La PIPC a infligé une amende de 53,98 milliards de wons (37,4 millions de dollars) à KT Corp. après que des hackers ont exploité des vulnérabilités dans le système femtocell de l'opérateur de télécommunications pour accéder aux données d'abonnés appartenant à 16 647 clients.
- •La fuite a entraîné des paiements mobiles non autorisés pour 368 utilisateurs, causant des pertes financières d'environ 240 millions de wons, ce que la PIPC a cité comme preuve d'un préjudice concret au-delà d'une simple exposition passive de données.
- •KT avait connaissance d'une infection par logiciel malveillant sur 38 de ses serveurs dès mars de l'année dernière mais n'a pas signalé l'incident aux autorités et a supprimé les journaux de 10 serveurs compromis dans ce que les régulateurs ont qualifié de tentative organisée de dissimulation.
- •La PIPC renvoie l'affaire pour enquête pénale en raison de l'incapacité de KT à divulguer la fuite, de sa destruction de preuves et de sa soumission d'informations inexactes aux régulateurs.
- •L'amende définitive est nettement inférieure au maximum potentiel d'environ 190 milliards de wons, la PIPC ayant pris en compte des facteurs tels que l'ampleur de la fuite, les mesures correctives de KT et les dispositifs d'indemnisation des clients comme la dispense de frais de résiliation.
La Commission sud-coréenne de protection des informations personnelles (PIPC) a infligé jeudi une amende de 53,98 milliards de wons (37,4 millions de dollars) à KT Corp., premier opérateur fixe et deuxième opérateur mobile du pays, pour une fuite de données résultant de l'incapacité de l'opérateur de télécommunications à sécuriser correctement son système femtocell.
La PIPC a conclu que la gestion insuffisante par KT de son réseau de stations de base à petite cellule a permis à des hackers équipés de femtocells fabriquées illégalement — de petites stations de base cellulaires compactes et de faible puissance généralement utilisées pour étendre la couverture en intérieur — d'obtenir un accès non autorisé au réseau mobile de l'entreprise. La fuite, survenue en août de l'année dernière, a compromis les données personnelles de 16 647 abonnés de KT, y compris les clients d'opérateurs de réseaux mobiles virtuels. Les informations exposées comprenaient les numéros d'identification des abonnés, les numéros d'identification des appareils et les numéros de téléphone mobile.
L'incident a également entraîné des paiements mobiles non autorisés affectant 368 utilisateurs, causant des pertes financières d'environ 240 millions de wons, selon le régulateur. La PIPC a souligné que l'affaire était particulièrement grave car les données volées ont ensuite été utilisées pour infliger des dommages financiers concrets, plutôt que de constituer une simple exposition passive d'informations personnelles.
De plus, le régulateur a découvert que 38 serveurs liés aux systèmes de traitement des informations personnelles de KT avaient été compromis par plusieurs souches de logiciels malveillants, dont BPFDoor, un backdoor Linux furtif connu pour utiliser des techniques de Berkeley Packet Filter afin d'échapper à la détection, en mars 2025.
« KT avait connaissance de l'infection par logiciel malveillant sur ses serveurs en mars de l'année dernière mais n'a pas signalé la faille de sécurité au gouvernement », a déclaré un responsable de la PIPC. « Lors d'une inspection approfondie des serveurs de KT, nous avons découvert des signes suggérant une tentative organisée de dissimuler l'incident, notamment la suppression de journaux sur 10 serveurs compromis. »
La PIPC a annoncé qu'elle renverrait l'affaire pour enquête pénale, citant l'incapacité de KT à signaler l'incident de sécurité, la suppression de journaux de serveurs et la soumission d'informations inexactes.
L'amende définitive est nettement inférieure au maximum que KT aurait pu encourir en vertu de la loi sud-coréenne sur la protection des informations personnelles, qui a été modifiée en 2023 pour autoriser des amendes allant jusqu'à 3 % du chiffre d'affaires annuel pertinent d'une entreprise. Les estimations précédentes indiquaient que l'amende pourrait atteindre jusqu'à 190 milliards de wons.
La commission a expliqué que, pour fixer le montant final, elle avait pesé plusieurs facteurs, notamment l'ampleur de la fuite par rapport aux incidents récents impliquant SK Telecom et Coupang, la durée des violations, les mesures correctives prises par KT et les efforts de l'entreprise pour indemniser les clients affectés, comme la dispense de frais de résiliation. Cette amende intervient dans un contexte de surveillance réglementaire accrue du secteur des télécommunications en Corée du Sud, où une succession de fuites de données majeures a intensifié la pression sur les opérateurs pour qu'ils fassent preuve d'une gouvernance robuste en matière de cybersécurité.
KT a déclaré qu'elle acceptait la décision du régulateur et a présenté de nouvelles excuses pour la détresse causée aux clients et au grand public.
« Nous reconstruisons notre système de protection des informations personnelles depuis la base et élargissons nos investissements en sécurité pour prévenir des incidents similaires et restaurer la confiance des clients », a déclaré un responsable de KT.
KT a ajouté qu'elle examinerait la décision écrite du régulateur avant de déterminer s'il y a lieu d'engager une action en justice.
Par ailleurs, la PIPC a déclaré qu'elle comptait demander une enquête sur LG Uplus suite à des allégations selon lesquelles l'entreprise se serait débarrassée de serveurs avant que le régulateur n'engage une enquête sur une fuite de données présumée, soulevant des inquiétudes quant à une destruction potentielle de preuves.