韓国個人情報保護委員会(PIPC)は、通信大手KTコーポレーションに対し、データ保護違反を理由にKRW 53.979 billion(3900万ドル)の課徴金を科しました。
この処分は、2024年10月8日から2025年9月5日まで、約11か月間にわたって続いた社内ネットワーク侵害を理由とするものです。
PIPCは、不正な少額決済に関する利用者からの報告を受け、2025年9月10日に情報漏えいの可能性について調査を開始しました。その翌日、同社は最初のデータ漏えい届出を提出し、約5,500人の顧客データが流出したと報告しました。
同委員会の調査により、この事案では16,647人のKT加入者の個人情報が流出し、少なくとも368人について合計KRW 240 million(16万7,400ドル)相当の不正なモバイル決済が発生していたことが判明しました。
KTコーポレーションは韓国最大手の通信事業者で、モバイル通信・固定回線通信、ブロードバンドインターネット、IPTV、クラウド、データセンター、法人向けITサービスを提供しています。
従業員数23,300人を抱える同社は、1,350万人を超えるモバイル加入者にサービスを提供しているほか、同国の固定回線加入者の90%、高速インターネット利用者の45%を占めています。
不正な移動基地局
侵害の起点となったのは、フェムトセルと呼ばれるKTの携帯電話用小型基地局の紛失でした。この基地局には有効な認証証明書が格納されていました。
攻撃者はこの証明書を取り出し、自作のデバイスにインストールしました。このデバイスはKTのネットワークの正規の一部であるかのように振る舞い、不正なフェムトセルに接続してきた周辺デバイスの携帯電話通信を傍受していました。
これにより、攻撃者は利用者のデバイスとKTのコアネットワークとの間の通信を傍受できるようになり、携帯電話番号、IMSI、IMEI番号などを取得していました。
最終的に攻撃者は、傍受したデータをさらなる個人情報と組み合わせ、モバイル少額決済に使用されるSMSおよびARS認証コードを取得していました。
PIPCによれば、フェムトセルはKT自身が設置し、デバイスを完全に自社所有した上で、ネットワークの認証・認可も自社で管理していたということです。
同委員会は、フェムトセルの証明書の有効期間が10年間にも及んでいたこと、送信元IPアドレスによる接続制限がなかったこと、さらにフェムトセル管理サーバーを迂回できる経路が存在していたことなど、KTのセキュリティ管理体制には不備があったと指摘しています。
これらの脆弱性により、攻撃者は検知されることなく11か月にわたってKTのネットワークに接続し続け、機密性の高い顧客データを収集することができました。
BPFDoorマルウェア感染
調査の過程でPIPCは、KTのITサービスネットワークのサーバー38台が、2024年3月にBPFDoorを含むマルウェアに感染していたことも突き止めました。
BPFDoorは、2022年に公開文書で報告された、検知を回避するステルス性の高いLinux・Solaris向けバックドアで、5年以上にわたり検出を逃れてきました。
PwCは後に、その使用を中国系のスパイ活動グループ「Red Menshen」と関連付けています。同グループは通信事業者やその他の重要インフラ分野の組織を標的としてきました。
このマルウェアはBerkeley Packet Filter(BPF)技術を用いてネットワークトラフィックを受動的に監視し、攻撃者は特別に細工した「マジック」パケットを送ることでリスニングポートを開くことなくマルウェアを起動できます。これにより、事実上ファイアウォールによる保護を回避し、ひそかにリモートシェルアクセスを行うことが可能になっていました。
同委員会は、KTが2024年3月の時点でこのマルウェア感染を把握していながら、当局への報告を怠り、顧客への説明もないまま社内で事案を処理していたと指摘しています。
さらに同社は、別の通信会社であるLG U+のマルウェア侵害を受けてマルウェア検査を実施した際、侵害されたサーバーの一部からログを削除していたことも明らかになりました。
LG U+も同様の証拠隠滅とも言える対応を取っており、調査担当者が侵害の全容を把握する前にOS(オペレーティングシステム)を再インストールし、サーバーを廃棄していました。
KTがこれら過去のネットワークログを消去していたため、同委員会は、他にも顧客データが盗まれていたかどうかを判断できなかったとしています。
今回の措置の一環として、PIPCはKTに対し、フェムトセルなど通信設備のセキュリティ管理体制を強化すること、個人情報保護に関するガバナンスを強化すること、最高プライバシー責任者(CPO)が監督業務において実質的な役割を果たすようにすること、そしてISMS-P認証の対象範囲をモバイルネットワークシステムにまで拡大することを命じました。
同委員会はまた、調査の前あるいは調査中に証拠を隠蔽・破棄した企業に対してより厳しい罰則を科す法改正を推進していく方針も明らかにしています。
攻撃者に先んじて、すべてのレイヤーをテストする
セキュリティチームが記録できている攻撃成功事例はわずか54%、アラートが上がるのはたった14%にすぎません。残りは、環境内を検知されずに素通りしています。
Picusのホワイトペーパーでは、breach and attack simulation(侵害・攻撃シミュレーション)によってSIEMやEDRのルールをテストし、脅威が検知をすり抜けるのを防ぐ方法を解説しています。
