MSIT: Luka w zabezpieczeniach KT wynikała z zaniedbań w zarządzaniu femtokomórkami

Ministerstwo Nauki i Technologii Informacyjnych (MSIT) oficjalnie ogłosiło 29 grudnia 2025 roku ostateczne wyniki dochodzenia w sprawie incydentu bezpieczeństwa, który miał miejsce u operatora KT Corp. Obszerne śledztwo wykazało, że pierwotna luka w zabezpieczeniach wynikała z niewystarczającego nadzoru i zaniedbania protokołów zarządzania infrastrukturą femtokomórek przez przewoźnika mobilnego. Te małe stacje bazowe, wdrażane w celu lokalnego wzmocnienia sieci, stworzyły systemową słabość. Ta zaniedbana konfiguracja umożliwiła wprowadzenie nielegalnych femtokomórek, które następnie uzyskały nieautoryzowany dostęp do zastrzeżonej wewnętrznej architektury sieci KT.

Konsekwencje tego naruszenia bezpieczeństwa były dwojakie. Po pierwsze, ułatwiło to przeprowadzanie nieautoryzowanych transakcji mobilnych płatności. Po drugie, doszło do masowego wycieku wrażliwych danych klientów. Straty finansowe objęły nieautoryzowane mikropłatności na łączną kwotę 243 milionów wonów, co odpowiada około 167 000 dolarów amerykańskich, dotykając 368 potwierdzonych użytkowników. Zakres naruszenia danych był jednak znacznie szerszy, obejmując 22 227 osób. Z ich systemów wyeksfiltrowano dane identyfikacyjne, w tym numery telefonów komórkowych, numery IMSI (International Mobile Subscriber Identity) oraz numery IMEI (International Mobile Equipment Identity).

Analiza kryminalistyczna, przeprowadzona przez połączony zespół śledczy rządu i sektora prywatnego, ujawniła krytyczną wadę w mechanizmie uwierzytelniania urządzeń. Okazało się, że wszystkie femtokomórki wydane przez KT współdzieliły jeden, ten sam certyfikat cyfrowy dostarczony przez producenta. Certyfikat ten posiadał wyjątkowo długi okres ważności, sięgający nawet dziesięciu lat. Taka konfiguracja oznaczała, że gdy atakującemu udało się skopiować ten jeden certyfikat, mógł on utrzymywać nieautoryzowany dostęp do sieci przez blisko dekadę. Ponadto, dochodzenie ujawniło znaczącą obecność złośliwego oprogramowania wewnątrz systemów KT. Zidentyfikowano 94 serwery operatora zainfekowane 103 różnymi typami złośliwego kodu, w tym BPFDoor i Rootkit. Niektóre z tych infekcji datowały się aż na kwiecień 2022 roku.

MSIT ostatecznie uznało, że KT rażąco naruszyło swoje zobowiązania umowne dotyczące świadczenia bezpiecznych usług, wystawiając wszystkich abonentów na potencjalne zagrożenie. Incydent ten wpisuje się w szerszy wzorzec kontroli w sektorze, zwłaszcza że konkurencyjny SK Telecom został wcześniej ukarany grzywną w wysokości 134,8 miliarda wonów za własne naruszenie danych. Ministerstwo nakazało KT natychmiastowe wdrożenie rygorystycznych ulepszeń bezpieczeństwa. Wymagania te obejmują regularną rotację adresów IP serwerów uwierzytelniających oraz ustanowienie skutecznych systemów wykrywania nieautoryzowanych połączeń femtokomórkowych. KT ma obowiązek przedstawić kompleksowy plan naprawczy w ciągu miesiąca, a weryfikacja zgodności z zaleceniami zaplanowana jest na czerwiec 2026 roku.

Biorąc pod uwagę wagę zaniedbań w zakresie bezpieczeństwa, MSIT zasugerowało, że operatorzy komórkowi wkrótce mogą otrzymać nakaz zniesienia opłat za zerwanie umowy dla użytkowników przechodzących do konkurencji. Równolegle, organy ścigania podobno aresztowały dwóch obywateli Chin w związku z aspektem oszustwa finansowego w tej sprawie. W osobnym, ale powiązanym rozwoju wydarzeń, MSIT zgłosiło utrudnianie prac nad inną sprawą dotyczącą wycieku danych u LG Uplus Corp., pierwotnie ujawnionego w lipcu 2025 roku. Ministerstwo zarzuciło LG Uplus nieprawidłowe postępowanie, polegające na dostarczeniu sfałszowanej dokumentacji oraz ponownej instalacji systemów operacyjnych na dotkniętych serwerach po otrzymaniu wytycznych od Korea Internet & Security Agency (KISA). Działania te poważnie utrudniły dokładne śledztwo. Chociaż potwierdzono wyciek informacji z zintegrowanego rozwiązania do zarządzania hasłami LG Uplus, APPM, to właśnie utrudnianie dochodzenia skłoniło MSIT do formalnego wniosku o wszczęcie śledztwa policyjnego przeciwko LG Uplus pod zarzutem utrudniania czynności urzędowych.

Kluczowe serwery na ścieżce sieciowej zostały ponownie zainstalowane lub zniszczone między 12 sierpnia a 15 września, po tym jak KISA wydało wytyczne dotyczące wtargnięcia 19 lipca. Minister Nauki Bae Kyung-hoon podkreślił powagę sytuacji, zaznaczając, że bezpieczeństwo informacji jest fundamentalnym warunkiem koniecznym dla trwałości przedsiębiorstw i utrzymania zaufanego ekosystemu usług dla całego kraju. Toczące się działania regulacyjne sygnalizują wzmożone zaangażowanie rządu Korei Południowej w egzekwowanie odpowiedzialności za bezpieczeństwo infrastruktury krytycznej.