韓国最大手通信キャリアKT、フェムトセル悪用事件で38億円の制裁金

韓国最大手の通信キャリアが、深刻なセキュリティ上の不備によりハッカーの顧客詐欺を許してしまったとして、同国の個人情報保護当局から数百万ドル規模の制裁金を科されました。

KT(旧Korea Telecom)は1,300万人を超えるモバイル契約者を抱え、国内市場の過半数を占めるほか、高速インターネット利用者の約半数を占めています。

しかし、ソウルの個人情報保護委員会(PIPC)は2025年9月、顧客が不正な少額決済の被害に遭っているとの報告を受けて、同社に対する調査を開始しました。

これを受けてKTは、個人を特定できる情報(PII)の侵害についてPIPCに通報しました。

韓国での情報漏えい関連記事: ソウル警察、クーパンのデータ侵害を巡り家宅捜索、CEOは辞任

PIPCは今回の不正の発端を、フェムトセル(通常は家庭や中小企業向けに設計された小型・低出力の携帯基地局)の盗難にまで遡って突き止めました。

「ハッカーは紛失したKTのフェムトセルから証明書を抜き出し、それを自作のフェムトセルに組み込んだうえで、KTのモバイルネットワークにアクセスしました。その後、ハッカーは利用者の端末を自分のフェムトセル経由で通信させるよう誘導し、端末と内部ネットワーク間の送受信情報を傍受しました」とPIPCは説明しています。

「さらに、この情報を別途取得した個人情報(氏名、性別、生年月日)と組み合わせることで、ハッカーは携帯電話の少額決済を申請し、決済認証コードを含むARSおよびSMSメッセージを盗み取り、不正な少額決済を成立させることに成功しました」。

この手口により、合計16,647人分の電話番号、加入者識別番号(IMSI)、端末識別番号(IMEI)の情報が流出しました。このうち368人の顧客が不正な少額決済によって被害に遭い、被害総額は2億4,000万ウォン(175,000ドル)に上りました。

セキュリティ態勢強化への是正命令

当局の判断によると、今回の事件はKTの内部ネットワークにおける「基本的なアクセス制御管理」の欠如に起因しており、これによって攻撃者は不正なフェムトセルを接続することができました。

「KTのフェムトセル管理システムは全般的に不十分であり、認可されていないフェムトセルがKTの内部ネットワークに容易にアクセスできる状態でした」とPIPCは述べています。

「KTは内部ネットワークアクセス用に発行するフェムトセル証明書の有効期間を10年という長期間に設定していたうえ、内部ネットワークにアクセスするフェムトセルのIPアドレスを制限していなかったため、他社や海外のIPアドレスからのアクセスも許してしまっていました」。

当局はさらに、フェムトセル管理サーバーを迂回することが可能であった点や、検知・対応能力が不十分であったために侵害が11か月間発覚しなかった点も指摘しています。

PIPCは、無線通信機器の脆弱性チェックとガバナンスの改善を通じて、セキュリティ態勢を強化するよう命じました。

PIPC、バックドア型マルウェアを発見

KTにとってさらに悪いことに、調査官は内部サーバー38台がBPFDoorバックドアを含む複数種のマルウェアに感染していた証拠を発見しました。

「調査の結果、2024年3月にハッカーがKTローミングレンタルサービスのウェブサイトの脆弱性を悪用してネットワークに侵入し、悪意あるコードファイルをアップロードすることで複数のサーバーに感染を広げたことが確認されました」とPIPCは述べています。

KTは当時、この侵害を政府に報告せず、PIIが流出したかどうかについて詳細な分析を行うこともなく、社内対応のみで済ませることを選びました。

PIPCはこれを受けて、サーバーログの削除や虚偽データの提出、調査中のKTによる供述の撤回についても、併せて告発を行っています。