Bilim ve Bilişim Bakanlığı (MSIT) KT İhlalinin Zayıf Femtocell Yönetimine Bağlandığını Duyurdu

Bilim ve Bilişim Bakanlığı (MSIT), mobil operatör KT Corp.'taki güvenlik olayına ilişkin kapsamlı soruşturmanın kesin sonuçlarını 29 Aralık 2025 Pazartesi günü resmen açıkladı. Yapılan derinlemesine inceleme, temel güvenlik açığının, mobil taşıyıcının yerel ağ iyileştirmesi için konuşlandırılan küçük baz istasyonları olan femtocell altyapısına yönelik yetersiz gözetim ve yönetim protokollerinden kaynaklandığını ortaya koydu. Bu sistematik ihmal, kötü niyetli femtocellerin sisteme sızmasına olanak tanıyan bir ortam yarattı ve bu cihazlar daha sonra KT'nin özel iç ağ mimarisine yetkisiz erişim sağladı.

Bu güvenlik zafiyeti iki ana sonuç doğurdu: yetkisiz mobil ödeme işlemlerinin kolaylaştırılması ve hassas müşteri verilerinin geniş çapta ifşa olması. Finansal kayıp, 368 doğrulanmış kullanıcıyı etkileyen, toplamda 243 milyon won (yaklaşık 167.000 ABD Doları) tutarındaki yetkisiz mikro ödemeleri içeriyordu. Veri ihlalinin kapsamı ise çok daha genişti; mobil numaralar, Uluslararası Mobil Abone Kimliği (IMSI) numaraları ve Uluslararası Mobil Ekipman Kimliği (IMEI) numaraları dahil olmak üzere kişisel tanımlayıcıları sızdırılan 22.227 kullanıcı etkilendi.

Hükümet ve özel sektörden oluşan ortak araştırma ekibi tarafından yürütülen adli analiz, cihaz kimlik doğrulama mekanizmasında kritik bir kusur tespit etti. Spesifik olarak, KT tarafından verilen tüm femtocellerin, üretici tarafından sağlanan ve on yıla kadar uzatılmış bir geçerlilik süresine sahip tek bir dijital sertifikayı paylaştığı belirlendi. Bu yapı, bir saldırganın bu tek sertifikayı başarıyla kopyalaması durumunda, neredeyse on yıl boyunca yetkisiz ağ erişimini sürdürebileceği anlamına geliyordu. Dahası, soruşturma önemli bir dahili kötü amaçlı yazılım varlığını da ortaya çıkardı; BPFDoor ve Rootkit dahil olmak üzere 103 farklı kötü amaçlı kod türüyle enfekte olmuş 94 KT sunucusu tespit edildi ve bu enfeksiyonların bazılarının Nisan 2022'ye kadar uzandığı belirlendi.

MSIT, nihayetinde KT'nin güvenli hizmet sunma yönündeki sözleşmesel yükümlülüğünü yerine getirmede açıkça başarısız olduğunu ve tüm aboneleri potansiyel tehdit altında bıraktığını tespit etti. Bu olay, sektördeki inceleme eğiliminin bir parçası olarak görülüyor; nitekim KT'nin rakibi SK Telecom da daha önce kendi veri ihlali nedeniyle 134,8 milyar won para cezasına çarptırılmıştı. Bakanlık, KT'ye derhal kimlik doğrulama sunucusunun IP adresinin düzenli olarak değiştirilmesi ve yetkisiz femtocell bağlantıları için sağlam tespit sistemlerinin kurulması dahil olmak üzere sıkı güvenlik geliştirmeleri yapılması talimatını verdi. KT, bir ay içinde kapsamlı bir iyileştirme planı sunmakla yükümlü olup, uyumluluğu doğrulamak üzere Haziran 2026'da takip eden bir hükümet denetimi planlanmıştır.

Güvenlik ihlallerinin ciddiyeti nedeniyle, MSIT mobil taşıyıcıların genel olarak, rakiplere geçen kullanıcılar için iptal ücretlerini kaldırma yönünde yakında düzenlemelerle karşılaşabileceğine işaret etti. Ayrı olarak, kolluk kuvvetlerinin davanın finansal dolandırıcılık yönüyle bağlantılı olarak iki Çin vatandaşını tutukladığı bildirildi. Paralel bir gelişmede, MSIT, Temmuz 2025'te açıklanan LG Uplus Corp.'taki veri ihlaline ilişkin ayrı soruşturmasında engelleyici bir sonuçla karşılaştığını bildirdi. Bakanlık, LG Uplus'un, Korea Internet & Security Agency (KISA)'dan talimat aldıktan sonra etkilenen sunuculara sahte belgeler sunarak ve işletim sistemlerini yeniden yükleyerek usulsüz davranışlarda bulunduğunu iddia etti; bu eylemler kapsamlı bir adli incelemeyi ciddi şekilde engelledi. LG Uplus'un entegre şifre yönetim çözümü APPM'den bilgi sızıntısı doğrulanmış olsa da, bu engelleme MSIT'in resmi görevi engelleme şüphesiyle LG Uplus hakkında polise suç duyurusunda bulunmasına yol açtı.

Ağ yolu üzerindeki kilit sunucular, KISA'nın 19 Temmuz'daki müdahale rehberliğini takiben 12 Ağustos ile 15 Eylül tarihleri arasında yeniden kuruldu veya imha edildi. Bilim Bakanı Bae Kyung-hoon, durumun vahametini vurgulayarak, bilgi güvenliğinin kurumsal yaşayabilirlik ve ülke için güvenilir bir hizmet ekosisteminin sürdürülmesi açısından temel bir ön koşul olduğunun altını çizdi. Devam eden düzenleyici eylemler, Güney Kore hükümetinin kritik altyapı güvenliğinde hesap verebilirliği uygulama konusundaki artan kararlılığını göstermektedir.