Het Zuid-Koreaanse telecombedrijf KT Corp heeft wegens een datalek een boete van omgerekend 33 miljoen euro gekregen. Dat meldt de Zuid-Koreaanse privacytoezichthouder PIPC, die van nalatigheid aan de kant van KT spreekt. Het datalek begon met een aanvaller die een certificaat uit een kwijtgeraakte femtocell van KT wist te halen en vervolgens aan een eigen femtocell toevoegde. Een femtocell is een klein mobiel basisstation om het mobiele bereik in woningen en kantoren te verbeteren.

Met de zelfgemaakte femtocell wist de aanvaller toegang te krijgen tot het mobiele netwerk van KT en lukte het om mobiel verkeer van apparaten in de buurt te onderscheppen die met de betreffende femtocell verbinding maakten. Zo kon de aanvaller mobiel telefoonnummer, IMSI-nummer en IMEI van ruim zestienduizend mensen onderscheppen. De aanvaller gebruikte de onderschepte data in combinatie met aanvullende persoonlijke informatie om zo microtransacties uit te voeren. Daarbij wist hij ook de ARS- en SMS-authenticatiecodes te stelen die voor de microtransacties vereist zijn.

Op deze manier werden 368 mensen voor een bedrag van omgerekend ruim 145.000 euro bestolen. Volgens de PIPC liet de beveiliging van het femtocell-systeem ernstig te wensen over, waardoor ongeautoriseerde femtocells eenvoudig toegang tot het interne KT-netwerk kregen. Zo waren de certificaten om toegang tot het interne netwerk te krijgen tien jaar geldig en was er geen beperking ingesteld voor de IP-adressen die toegang konden krijgen. Zo konden ook IP-adressen van andere providers en buitenlandse IP-adressen toegang krijgen.

Verder bleek dat het mogelijk was om de femtocell managementserver te omzeilen en vond er geen monitoring plaats om verdacht gedrag te detecteren. Zodoende had de aanvaller elf maanden zonder aanvullende authenticatie toegang tot het interne netwerk van KT en kon allerlei persoonlijke informatie stelen. De hack werd niet door KT opgemerkt en pas nadat er tal van klachten waren binnengekomen werden de verdachte verbindingen van de malafide femtocell ontdekt.

De PIPC ontdekte ook dat in 2024 38 servers met een backdoor waren besmet en een aanvaller door middel van SQL Injection informatie van personeel had opgevraagd. Toen KT de malware op de eigen servers ontdekte besloot het dit niet aan de overheid te melden. Daarnaast zou het geprobeerd hebben om het incident geheim te houden door logs van de gehackte servers te verwijderen.

De boete valt echter lager uit dan verwacht. De PIPC kan boetes opleggen die drie procent van de jaaromzet bedragen. In eerste schattingen werd rekening gehouden met een boete van omgerekend 115 miljoen euro. Het uiteindelijke bedrag valt vanwege verschillende factoren lager uit, zoals het aantal slachtoffers vergeleken met andere incidenten, zo meldt The Korea Herald.