El regulador surcoreano sanciona al gigante de las telecomunicaciones por fallos graves en la protección de datos
La Comisión de Protección de Información Personal de Corea del Sur (PIPC) ha impuesto una multa histórica de 53.979 millones de wones (aproximadamente 39 millones de dólares) a KT Corporation, el mayor operador de telecomunicaciones del país. Esta sanción es el resultado de una investigación que reveló vulnerabilidades técnicas persistentes, infecciones por malware de espionaje y, lo más preocupante para el sector empresarial, una gestión negligente de los incidentes de seguridad.
El peligro de los activos perdidos: La estación base ‘rogue’
El origen de la brecha principal se encuentra en una femtocell (una pequeña estación base celular) extraviada por la compañía. Este dispositivo contenía un certificado de autenticación válido que los atacantes utilizaron para crear una estación base falsa o ‘rogue’.
Al hacerse pasar por un nodo legítimo de la red de KT, los atacantes interceptaron el tráfico de dispositivos cercanos, capturando números de teléfono e identificadores técnicos como IMSI y IMEI. Mediante la combinación de estos datos con interceptación de SMS, lograron realizar micropagos fraudulentos que afectaron a cientos de usuarios. Técnicamente, el fallo residió en controles de seguridad inadecuados: los certificados tenían una validez de 10 años, no existían restricciones por dirección IP de origen y se permitieron rutas que evitaban los servidores de gestión de estos dispositivos.
BPFDoor: Espionaje silencioso en la infraestructura
Durante la auditoría, la PIPC descubrió que 38 servidores de la red de servicios de IT de KT habían sido comprometidos por el malware BPFDoor. Este es un backdoor (puerta trasera) extremadamente sigiloso que utiliza la tecnología Berkeley Packet Filter para monitorizar el tráfico de red de forma pasiva, permitiendo a los atacantes acceso remoto sin abrir puertos sospechosos en el firewall.
Este malware ha sido vinculado anteriormente a grupos de espionaje con nexos estatales (como Red Menshen), lo que subraya que las grandes corporaciones de infraestructuras críticas son objetivos prioritarios para la inteligencia internacional.
Falta de transparencia y destrucción de pruebas
Uno de los puntos más críticos señalados por el regulador no fue solo el ataque en sí, sino la respuesta de KT Corporation. La empresa conocía la infección por malware desde marzo de 2024, pero no informó a las autoridades y manejó el incidente internamente sin transparencia hacia sus clientes. Además, se detectó que la firma eliminó registros (logs) de servidores comprometidos durante las inspecciones, dificultando determinar el alcance real del robo de datos.
Lecciones para el sector empresarial
Este caso deja varias conclusiones fundamentales para cualquier organización que gestione datos sensibles o infraestructuras críticas:
- Gestión de activos (Asset Management): Un solo dispositivo físico perdido puede comprometer la integridad de toda una red si no existen protocolos de revocación de certificados inmediatos.
- Higiene de credenciales: Los certificados de seguridad con periodos de validez excesivamente largos (10 años en este caso) representan un riesgo inaceptable.
- Cumplimiento y Transparencia: Ocultar una brecha o destruir pruebas no solo agrava la sanción económica, sino que destruye la reputación corporativa y puede derivar en responsabilidades legales adicionales.
- Gobernanza de la Privacidad: El rol del Chief Privacy Officer (CPO) debe ser sustantivo y contar con autoridad real para supervisar los sistemas de red y no ser un mero trámite administrativo.
Desde Intedya, recordamos la importancia de contar con certificaciones y sistemas de gestión de seguridad de la información robustos (como ISO/IEC 27001) para prevenir, detectar y responder adecuadamente ante estas amenazas complejas.
Fuentes
- Bleeping Computer — South Korea fines telco giant KT $39 million for customer data breach
https://www.bleepingcomputer.com/news/security/south-korea-fines-telco-giant-kt-39-million-for-customer-data-breach/