KT multada em ₩54 bi após 11 meses de rede aberta por femtocell clonada
A PIPC (regulador de privacidade sul-coreano) multou a KT em ₩53,979 bilhões (~US$37–39 mi) após confirmar que atacantes acessaram a rede interna da operadora por 11 meses via femtocell clonada, expondo dados de 16.647 assinantes e causando ₩240 milhões em micropagamentos fraudulentos a 368 vítimas. O caso agrava-se porque a KT conhecia infecção por BPFDoor em 38 servidores desde março de 2024, ocultou o fato do regulador, e deletou logs — conduta que gerou denúncia criminal separada.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
A autoria do ataque à femtocell não foi atribuída publicamente pelo regulador ou pela PIPC a nenhum grupo específico; a ligação ao BPFDoor e ao grupo Red Menshen (China-nexus) é inferência técnica baseada na presença do malware nos servidores internos — não há declaração oficial de atribuição.
O vetor técnico central — certificado de femtocell com validade de 10 anos, sem restrição de IP e com rota que contorna o servidor de gerenciamento — representa falha de design sistêmica, não incidente isolado; a mesma arquitetura estava ativa em toda a rede KT.
A KT reportou inicialmente ~5.500 afetados; a investigação regulatória elevou esse número para 16.647 após consolidação de duplicatas (o número bruto inicial da própria KT era 22.227). A diferença entre o primeiro auto-reporte (5.500) e o apurado (16.647) sugere subdeclaração intencional ou análise deficiente na notificação inicial.
O escopo real da exposição a dados permanece incerto: a KT deletou logs de 10 dos 38 servidores infectados por BPFDoor, e o próprio regulador declarou ser impossível determinar se dados adicionais foram exfiltrados além do que já foi confirmado.
A presença de BPFDoor simultaneamente na SKT (caso de abril de 2025, ~27 milhões de afetados) e na KT (38 servidores, março de 2024) aponta para um possível ator comum visando sistematicamente operadoras sul-coreanas — hipótese que o caso LG Uplus (evidências destruídas antes da perícia) tornou estruturalmente inverificável.
A multa de ₩53,979 bi foi calculada sobre a receita dos serviços LTE e 5G da KT sob o teto de 3% vigente. Com a emenda à PIPA sancionada em março de 2026 e vigente a partir de 11 de setembro de 2026 — que eleva o teto a 10% para casos graves —, um incidente idêntico poderia gerar multa várias vezes maior.
Análise
O caso KT é, tecnicamente, um ataque de rogue base station combinado com fraude de micropagamento — não um vazamento de banco de dados clássico. O vetor central foi a clonagem de um certificado digital extraído de uma femtocell (estação-base de pequeno porte) perdida ou descartada. Segundo a PIPC, todas as femtocells da KT compartilhavam o mesmo certificado, armazenado em texto claro nos dispositivos, sem proteção de senha de root, com SSH habilitado para acesso remoto. O atacante copiou o certificado, instalou-o em hardware próprio e conectou esse dispositivo à rede central da KT sem passar por nenhuma etapa adicional de autenticação — pois a rede não verificava o identificador da célula (Cell ID) nem restringia conexões por endereço IP de origem. Certificados com validade de 10 anos completavam o quadro. O ataque aproveitou a arquitetura de decriptografia local da femtocell: comunicações são criptografadas do aparelho do usuário até a base, mas decriptografadas dentro do hardware da femtocell. Quem controla o hardware lê o tráfego em texto claro — IMSI, IMEI, SMS de autenticação e chamadas ARS.
A investigação revelou uma segunda camada de comprometimento, independente da femtocell: em março de 2024, 38 servidores da rede de serviços de TI da KT foram infectados com BPFDoor — o backdoor Linux atribuído por PwC ao grupo Red Menshen (APT china-nexus), conhecido por visar operadoras de telecomunicações. A KT detectou a infecção, não notificou o regulador e tratou o incidente internamente. Quando a PIPC iniciou sua investigação, a KT deletou logs de 10 dos servidores afetados e, em interrogatório, declarou inicialmente que 'nenhum dado preservado existe' — versão que colapsou ao ser confrontada com logs encontrados em forensics digitais. Essa conduta gerou denúncia criminal separada, fora do escopo da multa administrativa.
A versão numérica da KT variou ao longo do processo de forma que merece atenção analítica. Na notificação inicial (11 de setembro de 2025), a empresa declarou ~5.500 afetados. Investigação do governo em dezembro de 2025 apontou para mais de 22.000 com dados expostos, em janela temporal mais ampla. A PIPC fixou o número final em 16.647 após filtrar duplicatas, contas corporativas e usuários de múltiplas linhas. A distância entre 5.500 (auto-declarado) e 16.647 (regulador) — três vezes maior — é compatível com subdeclaração na notificação inicial, seja por análise deficiente ou por deliberação.
O paralelo com a SKT e a LG Uplus é o elemento de maior impacto sistêmico. BPFDoor foi encontrado nos servidores da SKT (caso de abril de 2025, que resultou em multa de ₩134,7 bi e compromisso de ~27 milhões de afetados) e agora em 38 servidores da KT. A LG Uplus, terceira operadora, destruiu os servidores onde a evidência estaria antes de os investigadores chegarem — tornando a questão sobre sua eventual comprometimento pelo mesmo ator estruturalmente insolúvel. South Korea's three largest carriers may all have been simultaneously compromised by the same threat actor: esse é o cenário que o regulador não pode nem confirmar nem descartar, e que a destruição de evidências pela LG Uplus tornou permanentemente aberto.
A multa de ₩53,979 bi foi calculada sobre a receita dos serviços LTE e 5G da KT, sob o teto de 3% previsto na PIPA atual. A PIPC classificou o incidente como 'violação grave', pesando: dano financeiro real a clientes, duração de 11 meses sem detecção, e deficiências estruturais nos controles de segurança. O valor é menor que a multa da SKT (₩134,7 bi) e da Coupang (₩624,6 bi) — o que gerou debate público sobre uniformidade de critérios. O regulador atribui a diferença ao volume e sensibilidade dos dados expostos e à receita relevante de cada empresa. A emenda à PIPA, vigente a partir de setembro de 2026, elevará o teto a 10% para casos graves — um cenário idêntico ocorrido após essa data resultaria em penalidade multiplicada. A KT sinalizou possibilidade de recurso administrativo ou judicial, mas sem confirmação de ação concreta até a data deste relatório.
Cronologia
- 01 mar 202438 servidores da rede de serviços de TI da KT são infectados com BPFDoor e outros malwares via exploração de vulnerabilidade no site de serviço de roaming. Dados de funcionários e parceiros são expostos. A KT detecta a infecção, não notifica o regulador e trata internamente. (Fonte: investigação conjunta governo-setor privado, novembro de 2025)
- 01 ago 2024Período mais amplo de micropagamentos não autorizados identificado retroativamente: investigação de dezembro de 2025 indica que fraudes via femtocell podem ter começado antes de outubro de 2024, com ₩400 bi em cobranças suspeitas entre agosto de 2024 e setembro de 2025. Ponto de início exato do acesso pela femtocell clonada não confirmado de forma definitiva. (Fonte: Korea Times, dezembro de 2025)
- 08 out 2024Data oficial de início do acesso não autorizado via femtocell clonada, conforme determinado pela PIPC. O atacante conectou certificado extraído de femtocell perdida a dispositivo próprio e passou a interceptar tráfego na rede interna da KT sem autenticação adicional. (Fonte: PIPC, SBS, Korea JoongAng Daily)
- 01 abr 2025Durante inspeção abrangente, a KT deleta logs de 10 servidores infectados com BPFDoor — conduta que a PIPC classifica como obstrução sistemática da investigação. (Fonte: MoneyToday, Seoul Economic Daily)
- 05 set 2025Último dia do acesso não autorizado via femtocell, segundo a PIPC. Período total: ~11 meses. (Fonte: PIPC)
- 10 set 2025PIPC abre investigação formal sobre possível vazamento após receber reclamações de usuários sobre micropagamentos fraudulentos. (Fonte: BleepingComputer, PIPC)
- 11 set 2025KT notifica formalmente o regulador, declarando ~5.500 afetados — número que a investigação posterior elevaria para 16.647. (Fonte: BleepingComputer)
- 24 set 2025CEO da KT, Kim Young-sup, comparece a audiência parlamentar e declara considerar ativamente isenção de multas de rescisão antecipada para cerca de 20.030 clientes afetados. (Fonte: BoAnNews)
- 01 out 2025CEO da KT assume responsabilidade pública pelo incidente de micropagamentos. KT abre canal para solicitação de rescisão antecipada sem multa. (Fonte: DataBreaches.net, Seoul Economic Daily)
- 06 nov 2025Equipe conjunta de investigação governo-setor revela publicamente que a KT ocultou infecção por BPFDoor em 43 servidores entre março e julho de 2024, sem notificar autoridades. (Fonte: Korea Herald, Korea Times, novembro de 2025)
- 29 dez 2025Relatório do governo confirma que micropagamentos não autorizados via femtocell totalizaram ₩400,2 bi e que mais de 22.000 pessoas tiveram dados expostos em período mais amplo (agosto de 2024 a setembro de 2025). Esse número bruto será reduzido para 16.647 após exclusão de duplicatas e contas corporativas. (Fonte: Kyunghyang Shinmun)
- 01 fev 2026Assembleia Nacional da Coreia do Sul aprova emenda à PIPA, elevando o teto de penalidade para 10% da receita total anual para violações graves. (Fonte: TechTimes)
- 01 mar 2026Emenda à PIPA é sancionada; entrada em vigor programada para 11 de setembro de 2026. (Fonte: TechTimes)
- 29 jul 2026PIPC realiza 15ª sessão plenária e delibera: (1) multa de ₩53,979 bi + ₩7,2 mi adicionais à KT; (2) denúncia criminal da KT por obstrução (deleção de logs, envio de materiais falsos); (3) encaminhamento da LG Uplus à polícia por destruição de servidores antes da perícia. (Fonte: PIPC, SBS, Korea JoongAng Daily)
- 30 jul 2026PIPC anuncia publicamente a sanção. KT emite nota pedindo desculpas, mas mantém aberta a possibilidade de recurso judicial, declarando que aguardará revisão do texto da decisão. (Fonte: Hankook Ilbo, Seoul Economic Daily)
Dados envolvidos
Impacto
16.647 assinantes da KT — incluindo clientes de operadoras virtuais (MVNOs) que usam a infraestrutura da KT — tiveram telefone, IMSI e IMEI expostos; 368 deles sofreram micropagamentos fraudulentos totalizando ₩240 milhões (~US$167 mil). Dados de nome, e-mail e número de telefone de funcionários e parceiros da KT foram adicionalmente expostos na infecção de março de 2024 por BPFDoor. A KT abriu canal de rescisão antecipada sem multa para clientes insatisfeitos. O impacto regulatório é mais amplo: todas as três maiores operadoras sul-coreanas estão sob escrutínio simultâneo (SKT em litígio administrativo, KT multada e criminalmente denunciada, LG Uplus em investigação policial) — situação sem precedente na história regulatória do setor na Coreia do Sul.
Elos técnicos
Recomendações
- Auditar toda a infraestrutura de femtocell (e equipamentos equivalentes de small cell/DAS) quanto a certificados compartilhados, validade excessiva, ausência de restrição de IP de origem e rotas que bypassam servidores de gerenciamento — os quatro vetores confirmados neste caso.
- Implementar validação de Cell ID em tempo real na rede core: qualquer femtocell que conecte com identificador não registrado ou de endereço IP externo deve gerar alerta e bloqueio automático, não apenas log passivo.
- Executar varredura de BPFDoor e variantes em servidores Linux de redes de telecomunicações — o malware opera no nível do kernel usando BPF e não abre portas de escuta, tornando-o invisível para ferramentas de monitoramento baseadas em netstat ou lsof. Ferramentas específicas de detecção de BPF hooks são necessárias.
- Revisar política de retenção e imutabilidade de logs de acesso a sistemas que processam dados pessoais: logs devem ser armazenados em destino separado, com integridade criptográfica, inacessível aos administradores do sistema auditado — a deleção de logs pela KT foi o ato que gerou denúncia criminal, não o incidente em si.
- Estabelecer procedimento de notificação regulatória com prazo claro para infecções por malware em sistemas que processam dados pessoais — independente de confirmação de exfiltração. O caso KT demonstra que a PIPC pune a não-notificação de infecção (março de 2024) com denúncia criminal, separada da sanção administrativa pela violação de dados.
- Para operadoras de MVNOs que dependem de infraestrutura de terceiros: mapear quais elementos de rede do parceiro processam dados de seus assinantes e negociar contratualmente acesso a relatórios de incidentes — clientes MVNO da KT foram afetados sem qualquer controle próprio sobre o vetor.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Atribuição do ataque à femtocell: a PIPC não identificou publicamente o atacante; descobrir se o mesmo ator do BPFDoor executou também o ataque à femtocell, ou se são grupos distintos, exigiria divulgação de relatório forense ou indicação formal de indiciamento.
Escopo real dos dados exfiltrados via BPFDoor: a deleção de logs de 10 servidores pela KT impediu a PIPC de determinar o que foi levado além do que já se sabe; a questão só seria resolvível com eventual recuperação de evidências alternativas ou confissão.
Conexão LG Uplus–BPFDoor: a destruição dos servidores da LG Uplus antes da perícia torna impossível, pela via forense, confirmar se a terceira operadora foi comprometida pelo mesmo grupo; eventual declaração formal de investigadores criminais poderia responder parcialmente.
Recurso judicial da KT: a empresa deixou aberta a possibilidade de contestar a multa em tribunal; o desfecho determinará se o valor é mantido, reduzido (como no modelo SKT) ou aumentado, e servirá de referência para o setor.
Número real de afetados no período agosto de 2024–julho de 2024 (anterior ao corte de outubro de 2024): o relatório de dezembro de 2025 indicou que fraudes podem ter ocorrido antes da janela oficial; esse intervalo não foi esclarecido pela PIPC e dependeria de análise de registros de cobrança de períodos anteriores.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.