韓国の個人情報保護委員会（PIPC）は木曜日、韓国最大の固定通信事業者かつ第2位の移動体通信事業者であるKT Corp.に対し、同社のフェムトセルシステムの不十分なセキュリティ管理に起因するデータ侵害により、539億8000万ウォン（約3,740万ドル）の罰金を科した。

PIPCの判断によれば、KTの小セル基地局ネットワークの管理不備が、違法に製造されたフェムトセル——屋内カバレッジの拡大を目的とする小型・低電力のセルラー基地局——を搭載したハッカーによる同社の移動体通信ネットワークへの不正アクセスを可能にした。昨年8月に発生した本件の侵害により、仮想移動体通信事業者の顧客を含む16,647人のKT加入者の個人データが漏洩した。漏洩した情報には、加入者識別番号、デバイス識別番号、および携帯電話番号が含まれていた。

規制当局によると、本件は368人のユーザーに対する不正なモバイル決済も引き起こし、約2億4000万ウォンの経済的損失をもたらした。PIPCは、漏洩したデータがその後、単なる個人情報の受動的な露出にとどまらず、具体的な経済的被害を引き起こすために使用された点を特に重大であると強調した。

さらに、規制当局はKTの個人情報処理システムに接続された38台のサーバーが、2025年3月にBPFDoorを含む複数のマルウェアに感染していたことを発見した。BPFDoorは、Berkeley Packet Filter技術を用いて検出を回避する隠密性の高いLinuxバックドアとして知られている。

「KTは昨年3月にサーバーのマルウェア感染を認識していたにもかかわらず、安全保障インシデントを政府に報告しなかった」とPIPCの担当者は述べた。「KTのサーバーの全面検査の過程で、侵害された10台のサーバーからログを削除するなど、インシデントを隠蔽しようとする組織的な試みを示す兆候を発見した。」

PIPCは、KTによる安全保障インシデントの未報告、サーバーログの削除、および不正確な情報の提出を理由に、本件を刑事調査に付すると発表した。

最終的な罰金額は、韓国の個人情報保護法の下でKTが直面する可能性があった最大額を著しく下回っている。同法は2023年に改正され、企業の関連年間売上高の最大3％に相当する罰金が認められている。以前の予想では、罰金は最大1,900億ウォンに達する可能性があるとされていた。

委員会は最終額の決定にあたり、SK TelecomやCoupangに関わる最近の事案と比較した本件の規模、違反の期間、KTが講じた是正措置、および解約手数料の免除をはじめとする影響を受けた顧客への補償努力など、複数の要因を考慮したと説明した。本罰金は、韓国の通信セクターに対する規制の監視が強まる中で打ち出されたものであり、一連の大規模なデータ侵害が通信事業者に対し、堅牢なサイバーセキュリティガバナンスの実証を求める圧力を強めている。

KTは規制当局の決定を受け入れ、顧客および広く一般社会に懸念を引き起こしたことについて改めて謝罪した。

「個人情報保護システムを根本から再構築し、同様のインシデントを防止し、顧客の信頼を回復するため、セキュリティ投資を拡大している」とKTの担当者は述べた。

KTは、法的措置を講じるかどうかを判断する前に、規制当局の文書による決定を検討するとしている。

これとは別に、PIPCはLG Uplusに対し、規制当局がデータ侵害の疑いに関する調査を開始する前にサーバーを廃棄したとの疑いで調査を要請する方針を明らかにした。これにより、証拠隠滅の懸念が高まっている。