Het Zuid-Koreaanse telecombedrijf KT Corp is door de privacytoezichthouder PIPC beboet met een bedrag van circa 33 miljoen euro vanwege een datalek. De toezichthouder stelt dat het datalek het gevolg was van nalatigheid bij KT, waarbij een aanvaller via een kwetsbaarheid in het femtocell-systeem toegang kreeg tot het mobiele netwerk van het bedrijf.

De aanval begon doordat de aanvaller een certificaat wist te bemachtigen uit een kwijtgeraakte femtocell, een klein mobiel basisstation dat het bereik binnenshuis verbetert. Met een zelfgemaakte femtocell kon de aanvaller het mobiele verkeer onderscheppen van apparaten die verbinding maakten met dit station. Hierdoor werden onder andere mobiele telefoonnummers, IMSI- en IMEI-nummers van ruim zestienduizend mensen buitgemaakt. De gestolen gegevens werden gecombineerd met andere persoonlijke informatie om microtransacties uit te voeren, waarbij 368 personen in totaal ruim 145.000 euro werden bestolen.

Volgens de PIPC was de beveiliging van het femtocell-systeem ernstig onvoldoende. Zo waren certificaten tien jaar geldig en ontbrak er een beperking op toegestane IP-adressen, waardoor ook buitenlandse en andere provider-IP’s toegang kregen tot het interne netwerk. Daarnaast kon de femtocell managementserver worden omzeild en ontbrak monitoring om verdachte activiteiten te detecteren. Hierdoor had de aanvaller elf maanden lang zonder extra authenticatie toegang tot het netwerk en kon hij persoonlijke data stelen.

KT ontdekte de hack niet zelf, maar pas na meerdere klachten werden verdachte verbindingen met de malafide femtocell gevonden. Verder bleek dat in 2024 38 servers waren besmet met een backdoor en dat een aanvaller via SQL Injection personeelsinformatie had opgevraagd. KT meldde deze malware-infectie niet aan de overheid en probeerde het incident te verbergen door logs te verwijderen.

De opgelegde boete is lager dan aanvankelijk verwacht, omdat de PIPC boetes kan opleggen tot drie procent van de jaaromzet. Eerste schattingen gingen uit van een boete van circa 115 miljoen euro, maar het uiteindelijke bedrag is lager vanwege factoren zoals het aantal slachtoffers, aldus The Korea Herald.