Résumé

  • La Commission coréenne de protection des informations personnelles a infligé à KT une amende de 53,979 milliards de wons et ordonné des mesures correctives, d’amélioration et de publication.
  • Elle compte 16 647 personnes uniques après retrait des entreprises et des lignes multiples du total initial de 22 227 lignes déclaré par KT.
  • Les numéros mobiles, IMSI et IMEI ont été exposés; 368 personnes ont subi environ 240 millions de wons de micropaiements non autorisés.
  • L’attaquant a copié le certificat d’une femtocellule KT perdue, l’a placé dans un appareil artisanal et a intercepté des données ainsi que des validations ARS et SMS.
  • Les certificats valaient dix ans, les adresses IP d’origine n’étaient pas limitées, un contournement du serveur de gestion existait et les identifiants de cellule étaient mal maîtrisés.
  • KT doit rendre compte de sa remédiation sous trois mois; les saisines concernant KT et LG Uplus ne constituent pas des condamnations.

La propriété de l’actif ferme la discussion sur le contrôle

Une femtocellule améliore la couverture dans un logement, un bureau ou un sous-sol. Sa présence dans un espace privé pourrait donner l’impression que l’exploitant en a transféré la maîtrise. La décision dit l’inverse. Depuis leur déploiement par KT, ces appareils restaient des actifs de l’opérateur, installés par ses techniciens et non vendus à l’utilisateur.

KT administrait l’autorisation d’entrer sur le réseau radio, les mécanismes d’authentification, les permissions vers le réseau interne, la sécurité et l’exploitation. L’abonné fournissait surtout l’emplacement et la connexion nécessaires. La responsabilité ne s’arrête donc pas à la porte du client: la décision d’accepter le certificat et l’appareil dans le domaine mobile demeurait une décision de KT.

Cette répartition est essentielle pour l’économie de la sanction. Si un opérateur place un actif de confiance loin de ses locaux, il doit conserver un inventaire, révoquer rapidement ce qui disparaît et vérifier qu’un identifiant connu se présente depuis un contexte attendu. L’éloignement physique accroît le besoin de contrôle central; il ne le réduit pas.

Un certificat perdu n’aurait pas dû survivre à sa chaîne de garde

Le point de départ est une femtocellule KT perdue. L’attaquant en a extrait le certificat puis l’a copié dans une station fabriquée pour l’occasion. Le certificat ne prouvait plus qu’un appareil autorisé fonctionnait dans un lieu connu; il prouvait seulement qu’un secret ancien était encore accepté.

Sa durée de validité atteignait dix ans. Une telle période ne produit pas seule une intrusion, mais elle allonge fortement la valeur d’un secret récupéré. La chaîne de garde aurait dû comprendre la déclaration de perte, la révocation, le renouvellement limité et la preuve qu’un certificat ne peut être réutilisé hors de son actif d’origine.

La durée doit rester distincte de l’autre horloge de l’affaire. Le dispositif non autorisé pouvait se connecter du 8 octobre 2024 au 5 septembre 2025, soit environ onze mois. Dix ans mesure la longévité potentielle du titre d’accès; onze mois mesure la fenêtre de connexion décrite par le régulateur. Confondre les deux masquerait la façon dont un choix de politique a créé une opportunité durable.

Trois contrôles réseau n’ont pas rattrapé le premier échec

Un certificat compromis ne devrait pas suffire à faire confiance à un appareil. Or KT n’imposait pas de restriction par adresse IP d’origine. Une femtocellule pouvait ainsi se présenter depuis le réseau d’un autre opérateur, voire depuis l’étranger, sans rencontrer cette barrière grossière mais utile.

Le régulateur a aussi constaté l’existence d’un chemin contournant le serveur chargé de gérer les femtocellules. Enfin, les identifiants de cellule attribués lors de la connexion au cœur n’étaient pas administrés de manière à faire ressortir une cellule inconnue ou un comportement anormal.

Ces faiblesses forment une chaîne, pas une liste décorative. La restriction d’origine aurait pu limiter un certificat volé; le serveur de gestion aurait pu imposer une admission centralisée; l’inventaire des cellules aurait pu signaler l’appareil qui avait franchi les étapes précédentes. Quand chaque contrôle suppose que le précédent est fiable, la défense en profondeur devient une succession de permissions.

Le chemin vers le paiement passe par plusieurs preuves

La station artisanale a amené des terminaux à passer par elle. Le régulateur dit que des informations échangées entre les appareils et le réseau interne ont alors été interceptées. Les données exposées comprennent les numéros de téléphone, les IMSI qui identifient l’abonnement mobile et les IMEI qui identifient le terminal.

Ces éléments ne débitent pas automatiquement un compte. L’attaquant les a combinés avec d’autres informations personnelles — nom, sexe et date de naissance — afin de demander des micropaiements. Il a ensuite capté les appels ARS et les SMS contenant la validation du paiement. La décision confirme ainsi un passage de l’accès radio à une fraude aboutie.

La limite est tout aussi importante. Les identifiants de 16 647 personnes ont été exposés, mais 368 personnes figurent dans le décompte des paiements non autorisés. Le texte ne donne pas le nombre total d’appels ou de messages interceptés et ne dit pas que chaque personne exposée a subi une transaction. Une chaîne d’attaque vérifiée n’autorise pas à généraliser chaque étape à toute la population.

Lignes, personnes et victimes ne se remplacent pas

KT avait initialement signalé 22 227 lignes. Après déduplication des comptes d’entreprise et des personnes possédant plusieurs lignes, la commission retient 16 647 personnes physiques, y compris des clients d’opérateurs mobiles virtuels. Le changement ne réduit pas artificiellement l’incident; il donne au dénominateur une unité juridique cohérente.

Les lignes servent à retrouver les cartes, les services et les traces réseau. Les personnes servent à notifier et à exercer des droits. Les 368 victimes confirmées servent au traitement des contestations de paiement. Additionner 22 227 et 16 647 compterait deux fois une partie du même événement. Présenter 22 227 comme des individus gonflerait la population. Présenter 16 647 comme des victimes financières effacerait l’écart entre exposition et fraude.

Cette discipline permet également de garder 240 millions de wons à sa place. Il s’agit du montant des micropaiements confirmés pour les 368 personnes, pas d’une évaluation exhaustive des coûts supportés par les clients, l’opérateur ou la société.

L’amende ne rembourse pas 225 fois le vol

L’amende de 53,979 milliards de wons représente environ 225 fois les 240 millions de wons de perte directe confirmée. Le rapport est arithmétique, pas une règle de calcul annoncée par la commission. L’amende sanctionne le manquement de KT à son obligation de sécuriser l’accès aux traitements de données dans le réseau.

Elle prend donc en compte un objet plus large que les transactions finales: la durée pendant laquelle une voie non autorisée est restée possible, la nature persistante des identifiants exposés, l’incapacité à détecter une cellule inconnue et la responsabilité d’un opérateur qui contrôle le cœur mobile. Le produit de l’amende ne constitue pas non plus un fonds de réparation équivalent à tout dommage.

Les dépenses à venir sont séparées. Réécrire le cycle de vie des certificats, inventorier les actifs périphériques, filtrer les origines, supprimer le contournement, améliorer les alertes et organiser la preuve de leur efficacité coûteront du temps et du capital. La décision n’en donne ni budget ni échéance d’achèvement.

Onze mois révèlent une détection tardive, pas une extraction quotidienne

Le dispositif a pu se connecter pendant environ onze mois sans que KT ne repère l’accès anormal. Les plaintes liées aux dommages secondaires ont finalement contribué à rendre l’anomalie visible. Autrement dit, des consommateurs ont servi de signal là où l’opérateur aurait dû disposer de télémétrie.

La gravité tient à cette possibilité durable. Un certificat issu d’un actif perdu gardait sa valeur, une origine inhabituelle ne bloquait pas l’accès et une cellule non inscrite dans l’inventaire ne déclenchait pas de réaction suffisante. Pour une infrastructure nationale, l’ordre logique devrait être inversé: l’alarme réseau doit précéder la fraude observée.

Le dossier ne publie toutefois ni fréquence de connexion, ni volume transporté, ni calendrier quotidien. Il serait excessif d’affirmer que l’attaquant a extrait des données sans interruption pendant les onze mois. Ce que la commission établit est une fenêtre utilisable et une absence de détection efficace pendant cette fenêtre.

La remédiation doit réunir technique et autorité

KT doit présenter sous trois mois des mesures couvrant les vulnérabilités des équipements radio, l’interdiction des accès illicites aux données du réseau et la responsabilité réelle du délégué dirigeant à la protection des données. La commission recommande aussi d’étendre la certification ISMS-P aux systèmes du réseau mobile concernés, au-delà de certains services informatiques déjà couverts.

Le test ne sera pas la longueur du plan. Il faudra mesurer le délai de révocation après perte, la part des cellules inscrites dans un inventaire fiable, les origines réseau autorisées, les alertes sur le contournement du serveur et le temps nécessaire pour porter une anomalie au responsable compétent. Une recommandation d’extension de certification ne signifie pas que cette extension est déjà acquise.

La décision aborde enfin une autre affaire de logiciel malveillant survenue en 2024. La commission a saisi le parquet à propos d’un défaut de déclaration, de suppressions de journaux et de documents présumés inexacts chez KT; elle a saisi les enquêteurs à propos d’une destruction alléguée de serveurs chez LG Uplus. Ces procédures renforcent l’enjeu de conservation des preuves, mais restent distinctes de la femtocellule et ne sont pas des condamnations.

Le prochain document utile devra donc relier trois responsabilités: révoquer l’actif périphérique, détecter son identité avant qu’elle ne cause un dommage et conserver les traces permettant de comprendre l’échec. Une petite station a une portée radio limitée. Le certificat que le cœur accepte peut, lui, porter une responsabilité nationale.

Sources