L'autorità sudcoreana per la privacy sanziona KT con 53,98 miliardi di won per la violazione dei dati legata al sistema femtocell
Punti chiave
- •La PIPC ha imposto una multa di 53,98 miliardi di won (37,4 milioni di dollari) a KT Corp. dopo che hacker hanno sfruttato le vulnerabilità del sistema femtocell dell'operatore telecom per accedere ai dati degli abbonati appartenenti a 16.647 clienti.
- •La violazione ha comportato pagamenti mobili non autorizzati per 368 utenti, causando perdite finanziarie di circa 240 milioni di won, che la PIPC ha citato come prova di un danno concreto oltre la passiva esposizione dei dati.
- •KT era a conoscenza di un'infezione da malware su 38 dei propri server già dal marzo dell'anno scorso ma non l'ha segnalata alle autorità e ha cancellato i log da 10 server compromessi in quello che i regolatori hanno descritto come un tentativo organizzato di insabbiamento.
- •La PIPC sta deferendo il caso per l'indagine penale sulla base della mancata divulgazione della violazione da parte di KT, della distruzione di prove e della presentazione di informazioni inesatte ai regolatori.
- •La sanzione finalizzata è significativamente inferiore al massimo potenziale di circa 190 miliardi di won, poiché la PIPC ha valutato fattori tra cui la scala della violazione, le azioni correttive di KT e le misure di compensazione dei clienti come la rinuncia alle penali di disdetta.
La Commissione per la Protezione delle Informazioni Personali della Corea del Sud (PIPC) ha giovedì imposto una multa di 53,98 miliardi di won (37,4 milioni di dollari) a KT Corp., il principale operatore di rete fissa e secondo operatore mobile del paese, per una violazione dei dati derivante dalla mancanza di adeguata sicurezza del sistema femtocell dell'operatore telecom.
La PIPC ha accertato che la gestione insufficiente da parte di KT della propria rete di stazioni base small-cell ha permesso a hacker dotati di femtocell prodotte illegalmente — piccole stazioni base cellulari a bassa potenza tipicamente utilizzate per estendere la copertura in ambienti interni — di ottenere accesso non autorizzato alla rete mobile dell'azienda. La violazione, avvenuta nell'agosto dell'anno scorso, ha compromesso i dati personali di 16.647 abbonati KT, inclusi i clienti di operatori di rete mobile virtuale. Le informazioni esposte comprendevano i numeri di identificazione degli abbonati, i numeri di identificazione dei dispositivi e i numeri di telefono cellulare.
L'incidente ha inoltre portato a pagamenti mobili non autorizzati che hanno colpito 368 utenti, causando perdite finanziarie di circa 240 milioni di won, secondo l'autorità. La PIPC ha sottolineato che il caso era particolarmente grave perché i dati rubati sono stati successivamente utilizzati per infliggere un danno finanziario concreto, anziché costituire una semplice esposizione passiva di informazioni personali.
Inoltre, l'autorità ha scoperto che 38 server collegati ai sistemi di elaborazione delle informazioni personali di KT erano stati compromessi da molteplici ceppi di malware, tra cui BPFDoor, una backdoor Linux furtiva nota per l'utilizzo di tecniche Berkeley Packet Filter per eludere il rilevamento, nel marzo 2025.
"KT era a conoscenza dell'infezione da malware sui propri server dal marzo dell'anno scorso ma non ha segnalato la violazione della sicurezza al governo", ha dichiarato un funzionario della PIPC. "Durante un'ispezione completa dei server di KT, abbiamo riscontrato segnali che suggeriscono un tentativo organizzato di nascondere l'incidente, inclusa la cancellazione dei log da 10 server compromessi."
La PIPC ha annunciato che avrebbe deferito la questione per l'indagine penale, citando la mancata segnalazione dell'incidente di sicurezza da parte di KT, la cancellazione dei log dei server e la presentazione di informazioni inesatte.
La sanzione finalizzata è nettamente inferiore al massimo che KT avrebbe potuto affrontare ai sensi della Legge sulla Protezione delle Informazioni Personali della Corea del Sud, che è stata modificata nel 2023 per consentire multe fino al 3 percento dei ricavi annuali pertinenti di un'azienda. Le stime precedenti avevano indicato che la multa avrebbe potuto raggiungere i 190 miliardi di won.
La commissione ha spiegato che, nel determinare l'importo finale, ha valutato diversi fattori, tra cui la scala della violazione rispetto a recenti incidenti coinvolgenti SK Telecom e Coupang, la durata delle violazioni, le azioni correttive adottate da KT e gli sforzi dell'azienda per compensare i clienti colpiti, come la rinuncia alle penali di disdetta. La sanzione arriva in un momento di crescente scrutinio regolatorio sul settore delle telecomunicazioni della Corea del Sud, dove una serie di importanti violazioni di dati ha intensificato la pressione sugli operatori per dimostrare una solida governance della cybersecurity.
KT ha dichiarato di accettare la decisione dell'autorità e ha rinnovato le scuse per il disagio causato ai clienti e al pubblico.
"Stiamo ricostruendo il nostro sistema di protezione delle informazioni personali dalle fondamenta e ampliando gli investimenti in sicurezza per prevenire incidenti simili e ripristinare la fiducia dei clienti", ha affermato un funzionario KT.
KT ha aggiunto che esaminerà la decisione scritta dell'autorità prima di determinare se intraprendere azioni legali.
Separatamente, la PIPC ha dichiarato che intende richiedere un'indagine su LG Uplus in merito alle accuse secondo cui l'azienda avrebbe smaltito dei server prima che l'autorità avviasse un'indagine su una sospetta violazione dei dati, sollevando preoccupazioni sulla potenziale distruzione di prove.