Resumen
- La Comisión de Protección de la Información Personal impuso a KT una multa de 53.979 millones de wones, junto con órdenes correctivas, recomendaciones y publicación de la sanción.
- El recuento final es de 16.647 personas únicas, no las 22.227 líneas comunicadas inicialmente antes de eliminar empresas y duplicados por varias líneas.
- Se expusieron números móviles, IMSI e IMEI; 368 personas sufrieron pagos no autorizados por unos 240 millones de wones.
- El atacante copió el certificado de una femtocelda KT perdida, lo instaló en un equipo artesanal e interceptó datos y autenticaciones ARS y SMS.
- La conexión no autorizada pudo mantenerse durante unos once meses, pero el expediente no demuestra una extracción continua cada día.
- KT debe informar de medidas técnicas y de gobierno en tres meses; las remisiones sobre KT y LG Uplus abren procesos, no acreditan condenas.
Primera puerta: un certificado con una vida desproporcionada
La credencial extraída de la femtocelda perdida seguía siendo aceptada por la red. KT había fijado una vigencia de diez años para los certificados de estos equipos. Una duración larga no equivale por sí sola a una intrusión, pero hace que un secreto copiado conserve utilidad mucho después de que el activo haya salido del control físico esperado.
La gestión correcta exige algo más que una fecha de caducidad. El inventario debe saber qué equipo conserva cada certificado, la pérdida debe activar una revocación rápida y la red debe comprobar que la credencial aparece desde el dispositivo y el entorno previstos. Aquí, el atacante pudo trasladar la confianza criptográfica a una femtocelda fabricada por su cuenta.
Diez años no son los once meses citados en la cronología. El primer periodo describe la política potencial de la credencial. El segundo va del 8 de octubre de 2024 al 5 de septiembre de 2025 y delimita el tiempo durante el cual el dispositivo no autorizado pudo conectarse. Son dos medidas distintas del mismo riesgo.
Segunda puerta: la red aceptaba orígenes que no encajaban
KT no limitaba la IP desde la que una femtocelda podía entrar. Según el regulador, el sistema permitía conexiones a través de otro operador o incluso desde una dirección extranjera. Un filtro de origen no sustituye una autenticación fuerte, pero habría añadido una comprobación independiente al certificado robado.
La defensa en profundidad funciona precisamente porque una prueba puede contradecir a otra. Si el certificado afirma “equipo autorizado” y el origen dice “red inesperada”, la conexión necesita revisión. Cuando ambos datos no se comparan, la credencial comprometida decide por sí sola.
Esta puerta también muestra por qué la ubicación física del aparato no reduce la responsabilidad de KT. La empresa conservaba el equipo como activo propio y gestionaba su admisión, autenticación, acceso interno y seguridad. Llevar cobertura a un domicilio extiende el perímetro operativo; no entrega el control del núcleo al usuario.
Tercera y cuarta puertas: gestión evitable e identidad invisible
La resolución describe una ruta capaz de esquivar el servidor de gestión de femtoceldas. Un sistema central debería verificar que el equipo está registrado, que su configuración es válida y que su situación no ha cambiado. Si existe un camino alternativo, una parte decisiva de la admisión puede quedar fuera de esa comprobación.
Después quedaba el identificador de celda asignado al entrar en el núcleo. KT no lo administraba de forma suficiente para detectar un ID no autorizado o una conexión anómala. El equipo artesanal podía superar la credencial y la ruta de acceso sin quedar señalado por una identidad de radio que no pertenecía al inventario.
Las cuatro puertas se refuerzan entre sí. Revocar el certificado habría detenido la primera. Restringir el origen habría cuestionado la segunda. Exigir el servidor de gestión habría cerrado la tercera. Comparar IDs de celda habría revelado la cuarta. El problema económico no es que existieran cuatro vulnerabilidades aisladas, sino que ninguna contuvo el fallo anterior.
El recorrido hasta el dinero tuvo varias etapas
Una vez dentro, la femtocelda pirata hizo que terminales de usuarios pasaran por ella. El atacante interceptó información entre esos dispositivos y la red interna. Entre los datos expuestos estaban el número móvil, el IMSI que identifica la suscripción y el IMEI que identifica el terminal.
Esos identificadores no autorizan solos un pago. El regulador explica que se combinaron con nombre, sexo y fecha de nacimiento obtenidos por otras vías. Después se solicitaron micropagos y se capturaron llamadas ARS y mensajes SMS que contenían la autenticación. La secuencia terminó en transacciones no autorizadas para 368 personas por unos 240 millones de wones.
El límite probatorio debe acompañar al recorrido. La exposición alcanzó a 16.647 personas, pero el daño de pago confirmado a 368. No se publica cuántas llamadas o mensajes fueron interceptados ni se afirma que todos los identificadores expuestos se usaran para defraudar. La existencia de un mecanismo probado no convierte cada posibilidad en un hecho consumado.
Tres denominadores evitan fabricar víctimas
KT había comunicado 22.227 líneas. El regulador descontó registros empresariales y líneas múltiples vinculadas a una misma persona y obtuvo 16.647 titulares reales, incluidos usuarios de operadores móviles virtuales. Uno es un recuento técnico de servicios; el otro, un recuento jurídico de personas.
El tercer grupo son las 368 víctimas de micropagos. No cabe sumar líneas y personas, porque parte del universo sería contado dos veces. Tampoco cabe llamar “22.227 personas” al primer número ni atribuir pagos fraudulentos a las 16.647. Cada denominador responde a una tarea: encontrar conexiones, notificar a personas o resolver pérdidas financieras.
La precisión protege también el análisis de la multa. Los 240 millones de wones son pérdida directa confirmada, no el coste total. Los 53.979 millones son una sanción administrativa, no una indemnización que multiplique el perjuicio por una fórmula fija.
Once meses miden la oportunidad, no una actividad diaria
La red aceptó la femtocelda no autorizada durante aproximadamente once meses y KT no identificó el acceso anómalo. Las quejas acumuladas por daños secundarios ayudaron a revelar la irregularidad. Eso convierte a la detección tardía en una parte central del incumplimiento.
Un operador nacional no debería depender de que el fraude llegue al consumidor para descubrir una celda desconocida. La revocación de activos perdidos, el origen de red, la ruta de gestión y el inventario de IDs tendrían que producir señales mucho antes. La ausencia de una alarma efectiva permitió que la oportunidad persistiera.
El expediente no ofrece un registro diario de conexiones, volumen de tráfico ni mensajes capturados. Por tanto, “once meses de acceso posible” no debe convertirse en “once meses de extracción ininterrumpida”. El próximo informe debería aportar frecuencia y volumen para reducir esa incertidumbre.
La sanción traslada el coste al diseño operativo
La comisión ordenó revisar femtoceldas y otros equipos de telecomunicaciones, reforzar la protección contra accesos ilícitos y dar responsabilidad efectiva al director de privacidad. KT debe diseñar y comunicar sus medidas en tres meses. Además, recibió la recomendación de extender el alcance de la certificación ISMS-P a los sistemas móviles afectados.
El trabajo necesario atraviesa equipos y organización: ciclos de certificados más cortos, revocación tras pérdidas, lista fiable de celdas, control de origen, eliminación de rutas de evasión, conservación de registros y una vía clara de escalado al responsable. La resolución no publica presupuesto ni prueba que esas medidas estén ya instaladas. Una recomendación de certificación tampoco es una certificación obtenida.
La multa es casi 225 veces la pérdida directa confirmada, pero ese cociente es solo una comparación útil. Señala que el regulador valora el riesgo creado y la obligación de gobernarlo, no únicamente las transacciones que pudieron cuantificarse al cierre del expediente.
Las derivaciones no son sentencias
En una línea separada, la comisión examinó una infección de malware de 2024. Atribuyó a KT falta de notificación, eliminación de algunos registros y entrega de material falso durante la investigación, y decidió remitir la conducta para su posible procesamiento. También remitió a LG Uplus a investigadores por la supuesta destrucción o reinstalación de servidores antes de su propia inspección.
Estos hechos subrayan que conservar evidencia es parte de la seguridad, pero no deben mezclarse con la femtocelda pirata. El mecanismo, los sistemas y el expediente son distintos. Una remisión inicia o alimenta una investigación; no sustituye la decisión de un tribunal.
El siguiente control público será el informe de tres meses. Debería medir cuánto tarda KT en revocar un certificado perdido, qué porcentaje de celdas está inventariado, qué orígenes se permiten, cómo se detecta un bypass y cuándo llega una alerta a quien puede ordenar una respuesta. Solo entonces se sabrá si las cuatro puertas han dejado de depender unas de otras.