要約
- 韓国個人情報保護委員会は KT に539億7,900万ウォンの課徴金を科し、是正命令、改善勧告、公表措置を決めた。
- 法人回線と複数回線の重複を除くと、携帯番号、IMSI、IMEI が流出した実人数は16,647人だった。
- KT が当初届け出た22,227は回線数であり、独立した被害者数でも16,647人との合計値でもない。
- 368人に約2億4,000万ウォンの無断少額決済が確認された。
- 攻撃者は紛失した KT フェムトセルから証明書を複製し、自作装置でネットワーク情報と決済認証の ARS・SMS を傍受した。
- KT は3カ月以内に技術・統治策を報告する必要がある。KT と LG Uplus に関する別件の移送は有罪判決ではない。
「どこに置いたか」より「誰が接続を決めたか」
フェムトセルは住宅、事務所、地下などの弱電界を補う。利用者の回線と空間を借りて動くため、家庭用ルーターに近い機器と見えやすい。しかし委員会の認定では、装置は利用者へ販売されたものではなく、KT の設置担当者が配置する KT 所有の資産だった。
モバイル網への接続承認、認証方式、内部網へのアクセス許可、セキュリティ制御、運用も KT が担っていた。利用者は設置環境を提供したにすぎない。したがって、紛失後も証明書が有効だったことや、未知の装置をコア網が受け入れたことは、顧客側の機器管理に転嫁できない。
分散配置した資産ほど中央管理が必要になる。設置台帳、紛失通知、証明書の失効、接続元の照合、装置 ID の監視が一つの流れになって初めて、遠隔地の小型基地局を信頼できる。
10年の証明書と11カ月の接続期間は別の時計
KT はフェムトセルの証明書有効期間を10年に設定していた。証明書が長いことだけで侵入が起きるわけではない。だが、紛失機器から秘密が取り出された場合、失効しない限り攻撃者が使える時間を長くする。
不正なフェムトセルが接続可能だったと認定された期間は、2024年10月8日から2025年9月5日までの約11カ月である。10年は信頼設定の設計値、11カ月は今回の不正経路が利用可能だった時間幅だ。二つを混ぜて「10年間侵入された」と書くことはできない。
同様に、約11カ月は毎日連続してデータを抜き取った証拠ではない。公表資料には日別の接続回数、通信量、傍受件数がない。確認できるのは、長期間使える経路が存在し、KT がその異常接続を期間中に検知できなかったという事実である。
証明書を補う三つの照合も働かなかった
証明書が破られても、別の手掛かりが装置を止めるべきだった。ところが KT は接続元 IP を制限せず、他社や海外の IP アドレスからもフェムトセルが接続できる状態だった。正しい証明書と想定外の接続元が矛盾しても、そこで拒否されなかった。
フェムトセル管理サーバーを迂回する経路も存在した。本来なら登録資産、設定、状態を中央で検査する場所を通らずに接続できたことになる。さらに、コア網接続時に割り当てるセル ID の管理が不十分で、未承認の ID や異常な接続を検出する仕組みが欠けていた。
これは四つの独立した欠陥ではなく、相互補完に失敗した一連の制御である。証明書の失効、IP 制約、管理サーバーの強制通過、セル ID 台帳のどれかが前段の失敗を抑えていれば、不正装置の寿命は短くできた可能性がある。
端末識別子から決済認証までの段階を分ける
攻撃者は紛失フェムトセルの証明書を自作装置に入れ、利用者端末をその装置経由に誘導した。委員会は、端末と内部網の間で送受信される情報が傍受されたと認定している。流出対象には携帯電話番号、加入者を示す IMSI、端末を示す IMEI が含まれる。
これらだけで決済が完了するわけではない。攻撃者は氏名、性別、生年月日など別に入手した情報と組み合わせて少額決済を要求し、認証コードを含む ARS 通話と SMS を傍受した。その結果、368人について約2億4,000万ウォンの無断決済が確認された。
経路が説明できても、全員に同じ結果が起きたとは言えない。識別情報が流出した実人数は16,647人で、決済被害が確認されたのは368人である。公表資料は傍受された通話・SMS の総数も示していない。情報流出、認証傍受、決済成立を別々の段階として数える必要がある。
22,227回線、16,647人、368人を同じ欄に入れない
KT は当初22,227回線について流出を届け出た。委員会は法人と一人が複数回線を持つケースを除き、MVNO 利用者を含む実際の情報主体を16,647人と算出した。数字が減ったのは被害を小さく見せたからではなく、単位を回線から人へ変えたからだ。
回線数はネットワーク記録や対象サービスを探すために必要である。実人数は通知や個人情報上の権利に必要である。368人は決済異議や補償対応に必要な対象だ。22,227と16,647を足すと重複し、22,227を「人」と呼ぶと複数回線を重ね、16,647人全員を金銭被害者とすると暴露と被害を混同する。
約2億4,000万ウォンも同じ理由で限定される。これは確認済み無断決済の合計で、調査費、顧客対応、再発防止、信用低下を含む総損失ではない。
539億7,900万ウォンは被害額の225倍返しではない
課徴金は確認済み決済被害の約225倍に当たる。比較としては有用だが、委員会が「被害額×225」で算定したとする根拠はない。課徴金は、個人情報を処理するネットワークへの違法アクセスを防ぐ安全措置義務の違反に対する行政制裁である。
規制対象は盗まれた金額より広い。永続的な加入者・端末識別子が流出し、管理対象の無線機器から内部網へ不正な経路ができ、消費者被害の苦情が出るまで発見できなかった。課徴金はその管理責任を問うもので、被害者へ配る完全な損害賠償額でもない。
今後の是正費用も別に発生する。証明書の更新と失効、資産台帳、接続元制約、セル ID 監視、ログ保存、経営層への報告を再設計しなければならない。決定文は予算や完了後の効果を示していない。
3カ月の報告は制御の効果を数値で示すべきだ
委員会はフェムトセルなど通信設備全体の脆弱性点検、ネットワーク内の個人情報への不正アクセス防止、最高個人情報保護責任者の実質的な役割を含む対策を命じた。KT は3カ月以内に計画を作成して報告する。事故のあったモバイルネットワークへ ISMS-P 認証範囲を広げることも勧告された。
次の資料で必要なのは「強化した」という文言ではない。紛失から証明書失効までの時間、台帳に載るセルの割合、許可する接続元、管理サーバー迂回の検知時間、未知のセル ID が経営責任者へ届くまでの時間を示すべきだ。認証拡大の勧告は、すでに認証済みであることを意味しない。
別件として、委員会は2024年のマルウェア感染について、未報告、ログ削除、調査時の虚偽資料を理由に KT を告発することを決めた。LG Uplus についても、調査前のサーバー廃棄などを捜査機関へ移送した。これらは証拠保全の問題を広げるが、フェムトセルの侵入経路とは別であり、移送は有罪判決ではない。
小型基地局の「小型」は電波範囲を示すにすぎない。そこで使われる証明書がコア網に受け入れられるなら、管理責任はネットワーク全体に及ぶ。KT の3カ月報告は、その信頼を装置単位で停止し、照合し、監査できるようになったかを示す最初の試験になる。