MSIT、KT情報漏洩事件の最終調査結果を発表：不十分なフェムトセル管理が原因と断定

科学技術情報通信部（MSIT）は、2025年12月29日月曜日、KTコーポレーションにおけるセキュリティインシデントに関する詳細な調査の最終結論を正式に公表しました。徹底的な調査の結果、この事態の根本的な原因は、局所的なネットワーク強化のために展開される小型基地局であるフェムトセルインフラストラクチャに対する、同モバイルキャリアの監督および管理体制の不備にあったと特定されました。この構造的な怠慢が脆弱な環境を生み出し、結果として不正なフェムトセルの導入を許し、それがKTの専有的な内部ネットワークアーキテクチャへの不正アクセスを可能にしたのです。

このセキュリティ上の失態は、二つの主要な結果をもたらしました。一つは不正なモバイル決済取引の実行、もう一つは機密性の高い顧客データの広範な漏洩です。金銭的な被害としては、確認された368名のユーザーに影響を与え、総額2億4300万ウォン（約16万7000米ドル相当）の少額決済が不正に行われました。データ侵害の範囲はこれよりもはるかに広範で、携帯電話番号、国際移動体加入者識別番号（IMSI）、国際移動体装置識別番号（IMEI）を含む個人識別情報が流出し、合計22,227名のユーザーが影響を受けました。

政府と民間による合同調査チームが実施したフォレンジック分析により、デバイス認証メカニズムにおける重大な欠陥が明らかになりました。具体的には、KTが発行したすべてのフェムトセルが、製造元から発行された同一のデジタル証明書を共有しており、この証明書は最長10年という長い有効期限を持っていました。この設定により、攻撃者が一度この単一の証明書を複製することに成功すれば、ほぼ10年間にわたって不正なネットワークアクセスを維持できてしまう状況でした。さらに、調査では大規模な内部マルウェアの存在も確認され、BPFDoorやRootkitなど103種類の悪意あるコードに感染したKTサーバーが94台特定されました。一部の感染は2022年4月にまで遡ることが判明しています。

MSITは最終的に、KTが安全なサービスを提供するという契約上の義務を明確に果たせておらず、全加入者を潜在的な脅威に晒したと結論付けました。この一件は、業界全体への監視強化の文脈で発生しました。KTの競合他社であるSKテレコムは、過去にデータ漏洩事件で1348億ウォンの罰金を科せられています。総務省は、KTに対し、認証サーバーのIPアドレスの定期的なローテーションや、不正なフェムトセル接続を検知するための強固なシステム構築など、直ちに厳格なセキュリティ強化策を講じるよう命じました。KTは1ヶ月以内に包括的な是正計画を提出する義務があり、政府によるコンプライアンス検証のためのフォローアップ検査が2026年6月に予定されています。

セキュリティ上の重大な不備を鑑み、MSITは、モバイルキャリア全般に対し、競合他社への乗り換えを希望するユーザーに対する解約手数料の免除を間もなく義務付ける可能性があることを示唆しました。また、不正な金銭取引の側面に関連して、法執行当局は中国籍の2名の人物を拘束したと報じられています。並行して、MSITは2025年7月に最初に公表されたLG Uplus Corp.でのデータ侵害に関する別の調査において、妨害的な結果を報告しました。同省は、LG Uplusが韓国インターネット振興院（KISA）の指導を受けた後、虚偽の文書を提出したり、影響を受けたサーバーのオペレーティングシステムを再インストールしたりする不適切な行為を行ったと主張しており、これらの行為が徹底的なフォレンジック調査を著しく妨害したとしています。LG Uplusの統合パスワード管理ソリューションであるAPPMからの情報漏洩は確認されましたが、この妨害行為を受け、MSITは公務執行妨害の疑いでLG Uplusに対する警察の捜査を正式に要請しました。

ネットワーク経路上の主要サーバーは、7月19日のKISAによる侵入ガイダンスの後、8月12日から9月15日の間に再インストールまたは廃棄されました。ペ・ギョンフン科学技術情報通信部長官は、情報セキュリティが企業の存続と国家にとって信頼できるサービスエコシステムを維持するための根本的な前提条件であることを強調し、事態の重大性を訴えました。現在進行中の規制措置は、韓国政府が重要インフラストラクチャのセキュリティに対する説明責任を強化する決意を強めていることを示しています。