MSIT Concluye que Brecha de Seguridad en KT se Originó por Gestión Deficiente de Femtoceldas

El Ministerio de Ciencia y TIC (MSIT) de Corea del Sur anunció formalmente, el lunes 29 de diciembre de 2025, los resultados definitivos de su exhaustiva investigación sobre el incidente de seguridad ocurrido en KT Corp. La indagatoria determinó que la vulnerabilidad central residía en la supervisión y los protocolos de gestión insuficientes que el operador móvil mantenía sobre su infraestructura de femtoceldas. Estas estaciones base, diseñadas para potenciar la cobertura localizada, se convirtieron, debido a esta negligencia sistémica, en un entorno explotable que permitió la inserción de femtoceldas ilícitas, logrando así un acceso no autorizado a la arquitectura de red interna propietaria de KT.

Esta falla de seguridad tuvo dos repercusiones principales: por un lado, facilitó transacciones de pago móvil fraudulentas y, por otro, provocó una exposición masiva de datos sensibles de los clientes. El perjuicio económico se materializó en micropagos no autorizados que sumaron 243 millones de wones, equivalentes a unos 167,000 dólares estadounidenses, afectando a 368 usuarios confirmados. Sin embargo, el alcance del compromiso de datos fue considerablemente mayor, impactando a 22,227 usuarios cuyos identificadores personales —incluyendo números de móvil, identificadores de suscriptor móvil internacional (IMSI) y de equipo móvil internacional (IMEI)— fueron sustraídos.

El análisis forense, llevado a cabo por el equipo conjunto de investigación gubernamental y privada, destapó una debilidad crítica en el mecanismo de autenticación de los dispositivos. Se descubrió que todas las femtoceldas emitidas por KT compartían un certificado digital idéntico, expedido por el fabricante y con una vigencia prolongada de hasta diez años. Esta configuración implicaba que, una vez que un actor malicioso lograba replicar dicho certificado único, podía mantener el acceso no autorizado a la red durante casi una década. Adicionalmente, la investigación detectó una presencia significativa de malware interno: 94 servidores de KT estaban infectados con 103 tipos distintos de código malicioso, entre ellos BPFDoor y Rootkit, con algunas de estas infecciones datando de abril de 2022.

El MSIT concluyó inequívocamente que KT había incumplido su compromiso contractual de ofrecer servicios seguros, dejando a todos sus suscriptores en una situación de amenaza potencial. Este suceso se inscribe en un patrón de escrutinio sectorial, recordando que SK Telecom, un competidor directo de KT, ya había sido sancionado previamente con una multa de 134.8 mil millones de wones por una brecha de datos propia. El Ministerio ha ordenado a KT implementar de inmediato mejoras de seguridad rigurosas, como la rotación periódica de la dirección IP del servidor de autenticación y el establecimiento de sistemas robustos para detectar conexiones de femtoceldas no autorizadas. KT tiene un plazo de un mes para presentar un plan de remediación exhaustivo, y se ha programado una inspección gubernamental de seguimiento para junio de 2026 para verificar el cumplimiento.

Dada la gravedad de las deficiencias de seguridad observadas, el MSIT insinuó que los operadores móviles en general podrían pronto enfrentar directrices para eximir a los usuarios de las tarifas de cancelación si deciden migrar a la competencia. Por otro lado, las autoridades policiales informaron la detención de dos ciudadanos chinos en relación con el componente de fraude financiero del caso. En un desarrollo paralelo, el MSIT reportó un resultado obstructivo en su investigación separada sobre una filtración de datos en LG Uplus Corp., revelada inicialmente en julio de 2025. El ministerio aseveró que LG Uplus incurrió en conducta indebida al presentar documentación falsificada y reinstalar sistemas operativos en los servidores afectados tras recibir instrucciones de la Agencia de Internet y Seguridad de Corea (KISA), acciones que obstaculizaron gravemente una investigación forense exhaustiva.

Aunque se confirmó la fuga de información desde la solución de gestión de contraseñas integrada de LG Uplus, denominada APPM, la obstrucción llevó al MSIT a solicitar formalmente una investigación policial contra LG Uplus por sospecha de obstrucción a la justicia. Los servidores clave a lo largo de la ruta de la red fueron reinstalados o desechados entre el 12 de agosto y el 15 de septiembre, después de que KISA emitiera su guía de intrusión el 19 de julio. El Ministro de Ciencia, Bae Kyung-hoon, enfatizó la seriedad del panorama, recalcando que la seguridad de la información es un requisito fundamental para la viabilidad corporativa y para mantener un ecosistema de servicios confiable para la nación. Las acciones regulatorias en curso señalan un compromiso elevado por parte del gobierno surcoreano para exigir responsabilidades en la seguridad de la infraestructura crítica.