個人情報保護委員会がフェムトセルの管理不備により顧客の個人情報流出と無断少額決済被害を引き起こしたKTに約540億ウォンの課徴金を科した。
個人情報委は29日に第15回全体会議を開き、個人情報保護法に違反したKTに対して課徴金539億7900万ウォンを賦課し、是正命令、改善勧告、公表、公表命令を決定したと30日に明らかにした。
また、マルウェア感染事故の調査過程で虚偽資料の提出などにより調査を妨害した行為について告発することとし、調査着手前にサーバーを廃棄して証拠を隠滅したLG U+に対しては捜査を依頼することを議決した。
個人情報委によると、ハッカーは紛失したKTのフェムトセルから証明書を抜き取り、これを自作のフェムトセルに埋め込む方式で流出を試みた。フェムトセルは無線通信の品質改善のため、家庭やオフィス、地下など無線通信の電波が弱い場所に設置される小型基地局である。ハッカーは自作フェムトセルを活用し、2024年10月から昨年9月まで約1年間KTの移動通信網に接続した。
この過程でハッカーは利用者の端末が不正フェムトセルを経由するよう誘導し、端末と内部網の間で行き来する情報を傍受した。これを別途入手した利用者の氏名や性別、生年月日などの個人情報と結合し、携帯電話の少額決済を試みたことが調査で判明した。
その結果、格安スマホを含めKT利用者計1万6647人の個人情報が流出し、368人を対象に約2億4000万ウォン相当の無断少額決済被害が発生した。先に科学技術情報通信部の民官合同調査団は公表した流出規模を2万2227件と集計したが、個人情報委は法人およびマルチラインなど重複を除いて算定したと説明した。
◇個人情報委「KT内部網へのアクセス制御が不十分…他社・海外IPも接続可能」
個人情報委は、今回の事故はKTがフェムトセルを管理・運用するにあたり内部網に対する基本的なアクセス制御を疎かにしたことで発生したと判断した。
KT内部網のホーム加入者サーバー（HSS）など個人情報処理システムは、携帯電話番号や加入者識別番号（IMSI）、端末識別番号（IMEI）などを用いて加入者と端末を認証する。通信の電波が届きにくい地域では端末がフェムトセルを経由して内部網に接続するため、認可されたフェムトセルのみが内部網にアクセスできるよう制御されなければならないというのが個人情報委の説明である。
しかし事故当時、KTは内部網に接続するフェムトセルのインターネットアドレス（IP）を制限しておらず、他の通信事業者や海外のIPを通じてもKT内部網に接続できた。また、フェムトセル管理サーバーを迂回する経路も存在していたことが確認された。
個人情報委は無断少額決済が発生したKTの移動通信サービスの5G・LTE売上を基準に課徴金を算定しつつ、違反行為の重大性や違反期間、是正の有無、被害回復の努力などを総合的に考慮して最終金額を決定したと明らかにした。
◇KT、マルウェア感染を把握しながら未報告…「ログ削除・虚偽陳述」
個人情報委はKTがマルウェア感染事故に関連する個人情報委の調査を妨害したとみて、捜査機関に告発することにした。個人情報委はフェムトセル事件を調査する過程で、2024年3月にKTのITサービスネットワークサーバー38台がハッキングされ「BPFDoor」など多数のマルウェアに感染した事実を確認した。
ハッカーはKTのローミングレンタルサービスのホームページのセキュリティ脆弱性を利用して内部ネットワークに侵入し、マルウェアファイルをアップロードして多数のサーバーを感染させたことが調査で分かった。ローミングレンタルサービスの管理者ページにはSQLインジェクション攻撃を仕掛け、KTの従業員と協力会社の一部従業員の氏名や電話番号、アカウント情報などを照会・流出させた形跡も確認された。
KTは2024年3月にサーバーのマルウェア感染事実を把握しながらも政府に侵害事故を報告しなかった。また、侵害が発生したサーバー10台のログを削除するなど、組織的に侵害事実を隠蔽した形跡も確認された。
あわせてKTは個人情報委の調査初期には感染サーバーに関して保存している資料はないと陳述したが、個人情報委がデジタル・フォレンジックを通じて調査着手前に関連ログを削除した形跡を確認すると陳述を翻し、別途保管していたログを提出した。
◇「LG U+、調査前にサーバー再インストール・廃棄…公務執行妨害で捜査依頼」
個人情報委はLG U+が個人情報流出疑惑に関連するサーバーを調査着手前に再インストールまたは廃棄し、事実関係の確認を困難にしたとみて、公務執行妨害の容疑で捜査を依頼することにした。
個人情報委は昨年8月に米国のセキュリティ専門誌『Frack（フラック）』に公開されたLG U+の個人情報流出疑惑を把握し、同年9月10日に調査に着手した。調査の過程で、LG U+の役職員・協力会社社員の氏名やアカウントなどが含まれたテキストファイルが、LG U+の統合パスワード管理システム（APPM）で、実際にLG U+が保有・管理していた情報であることが確認された。
ただしLG U+は、個人情報委が調査に着手する前である昨年8月12日と14日にAPPMサーバーなど関連サーバーのオペレーティングシステム（OS）を再インストールし、同月25日には一部サーバーを廃棄した。
一方、個人情報委は事業者が調査・制裁回避を目的として関連する個人情報流出の証拠を隠匿・廃棄する行為を防ぐための制度改善を進める。まず、調査に着手する前に事業者が資料を隠匿・廃棄する行為を刑事処罰できる規定を整備する計画だ。
証拠を隠匿または廃棄した事業者に対し全売上高の3％以内で課徴金を賦課する案と、事業者の証拠隠匿・廃棄の事実を通報して調査と処分に寄与した人に通報報奨金を支給する制度を推進する。
また、調査に協力しない、または是正命令を履行しない事業者に対しては日次売上高の0.3％を履行強制金として賦課し、個人情報侵害事故が発生した場合に関連資料を削除または変更できないよう、個人情報委が資料保存命令を出せるように個人情報保護法を改正する計画だ。
ソン・ギョンヒ個人情報委委員長は「今回の処分が国民生活に不可欠なサービスを提供する通信業界全般のセキュリティ能力を一段と強化する契機となるべきだ」と述べた。