Una multa da quasi 39 milioni di dollari, circa 36 milioni di euro, è quella che la Corea del Sud ha deciso di infliggere a KT Corporation, colosso delle telecomunicazioni, per una violazione dei dati che ha colpito migliaia di clienti. A comminarla è stata la Personal Information Protection Commission, l’autorità coreana per la protezione dei dati personali, che ha quantificato la sanzione in circa 54 miliardi di won. Il motivo? Una compromissione della rete interna dell’azienda andata avanti per quasi undici mesi, tra l’8 ottobre 2024 e il 5 settembre 2025.
Tutto è cominciato con le segnalazioni degli utenti, che lamentavano micropagamenti fraudolenti sui propri conti. La Commissione ha avviato l’indagine il 10 settembre 2025 e il giorno dopo KT ha presentato la sua prima notifica di violazione, parlando di circa 5.500 clienti coinvolti. Numeri che, a indagine conclusa, si sono rivelati ben più alti. I dati personali esposti riguardavano infatti 16.647 abbonati, con pagamenti fraudolenti per almeno 368 di loro pari a 240 milioni di won, ovvero circa 155.000 euro.
Per capire la portata della vicenda basta guardare le dimensioni dell’operatore. KT è il più grande delle telecomunicazioni in Corea del Sud, con 23.300 dipendenti e servizi che spaziano dalla telefonia mobile alla banda larga, dall’IPTV al cloud fino ai data center. Serve oltre 13,5 milioni di abbonati mobili, il 90 per cento della telefonia fissa del Paese e il 45 per cento degli utenti di internet ad alta velocità.
Una stazione mobile clandestina alla base dell’attacco
Il punto debole si è rivelato una femtocell smarrita, una piccola stazione radio base cellulare che conteneva un certificato di autenticazione ancora valido. Gli aggressori hanno recuperato quel certificato e lo hanno installato su un dispositivo costruito da loro, che a quel punto è apparso come una parte legittima della rete di KT. Da lì hanno iniziato a intercettare il traffico dei telefoni che si collegavano nelle vicinanze, catturando numeri di telefono, codici IMSI e IMEI.
Il passo successivo è stato combinare questi dati con altre informazioni personali, arrivando a impadronirsi dei codici di autenticazione via SMS e ARS usati proprio per i micropagamenti. La Commissione sottolinea che le femtocell erano installate, possedute e gestite direttamente da KT, che controllava anche l’autenticazione sulla rete. Eppure le protezioni erano insufficienti. I certificati restavano validi per dieci anni, le connessioni non erano limitate per indirizzo IP di origine ed esisteva addirittura un percorso che aggirava il server di gestione delle femtocell. Falle che hanno permesso agli hacker di restare agganciati alla rete per undici mesi senza essere scoperti.
Il malware BPFDoor e i log cancellati
Durante le verifiche è emerso un altro problema serio. Ben 38 server della rete dei servizi IT di KT erano stati infettati da malware, tra cui BPFDoor, già nel marzo del 2024. Si tratta di una backdoor furtiva per Linux e Solaris, documentata pubblicamente nel 2022, che è riuscita a passare inosservata per più di cinque anni. Il suo uso è stato collegato a un gruppo di spionaggio riconducibile alla Cina, noto come Red Menshen, attivo contro operatori di telecomunicazioni e settori critici.
Questo software sfrutta la tecnologia Berkeley Packet Filter per monitorare il traffico di rete in modo passivo. Gli attaccanti possono attivarlo con pacchetti speciali, senza aprire porte in ascolto, aggirando così i firewall e ottenendo accesso remoto nascosto.
L’accusa più pesante riguarda però la gestione dell’incidente. Secondo la Personal Information Protection Commission, KT sapeva dell’infezione fin dal marzo 2024 ma non ha avvisato le autorità, preferendo gestire tutto internamente e senza trasparenza verso i clienti. Non solo. L’azienda avrebbe addirittura cancellato i log da alcuni server compromessi durante le ispezioni, seguendo un copione simile a quello di un altro operatore, LG U+, che aveva reinstallato i sistemi operativi e dismesso i server prima che gli investigatori potessero valutare l’impatto reale della violazione. Proprio a causa di questi log cancellati, la Commissione non è riuscita a stabilire se siano stati sottratti altri dati dei clienti.
Nel provvedimento la Commissione ha ordinato a KT di rafforzare i controlli di sicurezza su femtocell e apparati di rete, di potenziare la governance sulla protezione dei dati personali, di dare un ruolo concreto al proprio responsabile della privacy e di estendere la certificazione ISMS-P ai sistemi della rete mobile. In parallelo, l’autorità ha annunciato l’intenzione di spingere per modifiche legislative che introducano sanzioni più severe contro le aziende che nascondono o distruggono prove prima o durante le indagini.
