Südkorea verhängt gegen Telekommunikationsriese KT eine Geldstrafe von 39 Millionen Dollar wegen Datenlecks

Südkorea hat gegen KT eine Geldstrafe von 39 Millionen US-Dollar verhängt, nachdem eine Untersuchung schwerwiegende Sicherheits- und Datenschutzmängel beim größten Telekommunikationsanbieter des Landes aufgedeckt hatte.

Die Personal Information Protection Commission (PIPC) verhängte gegen die KT Corporation eine Geldstrafe von 53,979 Milliarden Won. Angreifer hielten sich fast elf Monate lang im Netzwerk des Unternehmens auf. Dabei wurden Daten von 16.647 Kunden offengelegt und betrügerische mobile Zahlungen ermöglicht.

Warum KT nach dem Datenleck eine Geldstrafe erhielt

Die PIPC leitete im September 2025 eine Untersuchung gegen KT ein, nachdem Kunden betrügerische Mikrozahlungen gemeldet hatten.

Das Unternehmen gab zunächst an, dass etwa 5.500 Kunden betroffen sein könnten. Die Aufsichtsbehörde stellte später jedoch fest, dass die Angreifer personenbezogene Daten von 16.647 Kunden offengelegt hatten.

Mindestens 368 Kunden waren von betrügerischen mobilen Zahlungen im Gesamtwert von 240 Millionen Won betroffen. Das entspricht rund 167.400 US-Dollar.

Die Geldstrafe gegen KT umfasst diese Versäumnisse sowie unzureichende Sicherheitskontrollen und den Umgang des Unternehmens mit einer separaten Malware-Infektion.

Manipulierte Femtozelle fing Kundendaten ab

Bei dem Angriff spielte eine verlorene Femtozelle von KT eine Rolle. Dabei handelt es sich um eine kleine Mobilfunk-Basisstation, die ein gültiges Authentifizierungszertifikat enthielt.

Die Angreifer extrahierten das Zertifikat und übertrugen es auf ein selbst gebautes Gerät. Dadurch konnte sich das manipulierte Gerät als legitimer Bestandteil des KT-Netzwerks ausgeben.

Mobile Geräte in der Nähe verbanden sich mit der gefälschten Basisstation. Dadurch konnten die Angreifer den Datenverkehr zwischen den Kunden und dem Kernnetzwerk von KT abfangen.

Zu den gestohlenen Informationen gehörten Telefonnummern sowie IMSI- und IMEI-Nummern. Die Angreifer kombinierten diese Daten später mit weiteren personenbezogenen Informationen und fingen SMS- und ARS-Authentifizierungscodes ab, die für mobile Mikrozahlungen verwendet wurden.

Laut PIPC waren die Angreifer vom 8. Oktober 2024 bis zum 5. September 2025 mit dem Netzwerk von KT verbunden.

Schwache Netzwerkkontrollen machten KT angreifbar

KT hatte die betroffenen Femtozellen installiert und befand sich in deren Besitz. Das Unternehmen kontrollierte außerdem die Authentifizierung der Geräte und deren Zugang zum übrigen Netzwerk.

Die PIPC stellte jedoch fest, dass die Zertifikate der Femtozellen zehn Jahre lang gültig blieben. Zudem beschränkte KT Verbindungen nicht anhand der Quell-IP-Adresse.

Die Ermittler identifizierten außerdem eine Netzwerkroute, über die der Verwaltungsserver der Femtozellen umgangen werden konnte. Zusammen ermöglichten diese Schwachstellen den Angreifern, fast ein Jahr lang unbemerkt sensible Kundendaten zu sammeln.

KT soll BPFDoor-Infektion verschwiegen haben

Die Aufsichtsbehörde stellte außerdem fest, dass im März 2024 insgesamt 38 Server im IT-Servicenetzwerk von KT mit Malware kompromittiert worden waren.

Auf den betroffenen Systemen befand sich unter anderem BPFDoor, eine schwer erkennbare Backdoor für Linux und Solaris, die passiv auf speziell präparierte Netzwerkpakete lauschen kann. Die Malware kann Remote-Shell-Zugriff ermöglichen, ohne sichtbare offene Listening-Ports zu erzeugen.

Die PIPC wirft KT vor, von der Infektion gewusst, sie jedoch nicht den Behörden gemeldet zu haben. Nach Angaben der Aufsichtsbehörde behandelte das Unternehmen den Vorfall intern und informierte seine Kunden nicht ausreichend.

Die Kommission erklärte außerdem, dass KT während der Untersuchung der Malware-Infektion Protokolldaten von einigen kompromittierten Systemen gelöscht habe. Dadurch konnten die Ermittler nicht feststellen, ob die Angreifer weitere Kundendaten gestohlen hatten.

KT muss Datenschutz und Sicherheitskontrollen verbessern

Zusätzlich zur Geldstrafe hat die PIPC KT angewiesen, die Sicherheitskontrollen für Femtozellen und andere Telekommunikationsgeräte zu verbessern.

KT muss seine Verwaltung personenbezogener Daten stärken und seinem Chief Privacy Officer eine bedeutendere Aufsichtsfunktion übertragen. Außerdem muss das Unternehmen seine ISMS-P-Zertifizierung auf die Mobilfunknetzsysteme ausweiten.

Die PIPC plant zudem, sich für strengere Strafen gegen Unternehmen einzusetzen, die Sicherheitsvorfälle verschweigen oder vor beziehungsweise während einer Untersuchung Beweismittel vernichten.