MSIT Conclude: La Breccia di KT Ricondotta a una Gestione Inadeguata delle Femtocelle

Il Ministero della Scienza e dell'ICT (MSIT) ha ufficialmente reso noti i risultati conclusivi della propria indagine sull'incidente di sicurezza avvenuto presso KT Corp. nella giornata di lunedì 29 dicembre 2025. L'approfondita revisione ha stabilito che la vulnerabilità fondamentale risiedeva nella supervisione insufficiente e nei protocolli di gestione da parte dell'operatore mobile riguardo alla sua infrastruttura di femtocelle, che sono stazioni base di dimensioni ridotte implementate per potenziare la copertura di rete a livello locale. Questa negligenza sistemica ha creato un ambiente sfruttabile, permettendo l'introduzione di femtocelle illecite che hanno successivamente ottenuto un accesso non autorizzato all'architettura di rete interna proprietaria di KT.

La falla di sicurezza ha generato due conseguenze principali: la facilitazione di transazioni di pagamento mobile non autorizzate e l'ampia esposizione di dati sensibili dei clienti. Il danno finanziario ha comportato micropagamenti non autorizzati per un totale di 243 milioni di won, equivalenti a circa 167.000 dollari USA, che hanno interessato 368 utenti accertati. L'entità del compromesso dei dati è stata notevolmente più vasta, coinvolgendo 22.227 utenti i cui identificativi personali, inclusi numeri di cellulare, codici IMSI (International Mobile Subscriber Identity) e codici IMEI (International Mobile Equipment Identity), sono stati esfiltrati.

L'analisi forense, condotta dal team investigativo congiunto tra governo e settore privato, ha messo in luce un difetto critico nel meccanismo di autenticazione dei dispositivi. In particolare, tutte le femtocelle emesse da KT condividevano lo stesso certificato digitale rilasciato dal produttore, un certificato con una data di scadenza estesa fino a dieci anni. Questa configurazione ha significato che, una volta che un malintenzionato fosse riuscito a replicare questo singolo certificato, l'accesso non autorizzato alla rete avrebbe potuto essere mantenuto per quasi un decennio. Inoltre, l'indagine ha rilevato una significativa presenza di malware interno, identificando 94 server KT infetti da 103 diversi tipi di codice malevolo, tra cui BPFDoor e Rootkit, con alcune infezioni risalenti all'aprile 2022.

L'MSIT ha infine decretato che KT non è riuscita a onorare il proprio impegno contrattuale di fornire servizi sicuri, ponendo tutti gli abbonati in una condizione di potenziale minaccia. Questo episodio si inserisce in un contesto di scrutinio settoriale, dato che SK Telecom, concorrente di KT, era stata precedentemente sanzionata con una multa di 134,8 miliardi di won per una propria violazione dei dati. Il Ministero ha imposto a KT di implementare immediatamente rigorosi miglioramenti della sicurezza, inclusa la rotazione periodica dell'indirizzo IP del server di autenticazione e l'istituzione di sistemi di rilevamento efficaci per le connessioni femtocell non autorizzate. KT ha l'obbligo di presentare un piano di risanamento completo entro un mese, con un'ispezione governativa di verifica fissata per giugno 2026.

Data la gravità delle mancanze di sicurezza, l'MSIT ha lasciato intendere che gli operatori mobili in generale potrebbero presto ricevere l'ordine di annullare le penali di cancellazione per gli utenti che decidono di passare alla concorrenza. In un filone separato, le forze dell'ordine avrebbero arrestato due cittadini cinesi in relazione all'aspetto di frode finanziaria del caso. In uno sviluppo parallelo, l'MSIT ha riportato un esito ostruzionistico nella sua indagine distinta riguardante una violazione dei dati presso LG Uplus Corp., inizialmente resa nota nel luglio 2025. Il ministero ha sostenuto che LG Uplus abbia agito in modo scorretto presentando documentazione falsificata e reinstallando i sistemi operativi sui server interessati dopo aver ricevuto indicazioni dalla Korea Internet & Security Agency (KISA), azioni che hanno gravemente ostacolato un'indagine forense approfondita. Sebbene la fuga di informazioni dalla soluzione di gestione delle password integrata di LG Uplus, APPM, sia stata confermata, l'ostruzione ha portato l'MSIT a richiedere formalmente un'indagine di polizia contro LG Uplus con l'accusa di intralcio alla giustizia.

I server chiave lungo il percorso di rete sono stati reinstallati o scartati tra il 12 agosto e il 15 settembre, a seguito delle indicazioni di intrusione fornite da KISA il 19 luglio. Il Ministro della Scienza, Bae Kyung-hoon, ha sottolineato la serietà della situazione, ribadendo che la sicurezza delle informazioni è un prerequisito fondamentale per la sostenibilità aziendale e il mantenimento di un ecosistema di servizi affidabile per la nazione. Le azioni normative in corso segnalano un impegno rafforzato da parte del governo sudcoreano per imporre la responsabilità nella sicurezza delle infrastrutture critiche.