Südkorea verhängt 39 Mio. Dollar Strafe gegen Telekom-Riesen KT
Südkoreas Kommission zum Schutz personenbezogener Daten (PIPC) hat den Telekommunikationsriesen KT Corporation mit einer Rekordstrafe von 39 Millionen US-Dollar belegt. Grund sind schwere Sicherheitsmängel, die zu einem 11-monatigen Datenleck führten, bei dem Tausende von Kunden betroffen waren.
Was ist passiert
KT Corporation, der größte Akteur im südkoreanischen Telekommunikationssektor, sieht sich mit einer schweren Strafe der Regierung konfrontiert, weil das Unternehmen Kundendaten nicht ausreichend geschützt hat. Die Datenschutzbehörde des Landes, die Kommission zum Schutz personenbezogener Daten (PIPC), gab bekannt, dass sie eine Geldstrafe von genau 53,979 Milliarden KRW, was etwa 39 Millionen US-Dollar entspricht, verhängt hat. Diese Strafe ist eine direkte Folge einer Sicherheitslücke im internen Netzwerk des Unternehmens, die fast ein Jahr lang unentdeckt blieb.
Die von der PIPC durchgeführte Untersuchung ergab, dass Cyberangreifer zwischen dem 8. Oktober 2024 und dem 5. September 2025, also über einen Zeitraum von fast 11 Monaten, in das Netzwerk von KT eingedrungen waren. Diese lange Dauer ermöglichte es den Angreifern, unbemerkt sensible Kundendaten zu sammeln und Finanzbetrug zu begehen. Die Intervention der Regierung wurde durch Beschwerden von Nutzern ausgelöst, die verdächtige und betrügerische Mikrozahlungen auf ihren Telefonrechnungen bemerkten. Am 10. September 2025 leitete die PIPC auf der Grundlage dieser Berichte eine offizielle Untersuchung ein. Nur einen Tag nach Beginn der Untersuchung gab KT seine erste Meldung über eine Datenpanne ab und räumte ein, dass die Daten von rund 5.500 Kunden kompromittiert worden seien. Die eingehende Prüfung der PIPC ergab jedoch, dass das Ausmaß des Verstoßes weitaus größer war und die ursprünglichen Schätzungen des Unternehmens übertraf.
Welche Daten wurden gestohlen
Die Untersuchung ergab, dass insgesamt 16.647 KT-Abonnenten von dem Angriff betroffen waren. Die Angreifer verschafften sich Zugang zu äußerst kritischen persönlichen und technischen Informationen dieser Abonnenten. Zu den gestohlenen Daten gehörten grundlegende Kontaktinformationen wie Mobiltelefonnummern sowie eindeutige Kennungen für jedes mobile Gerät und jede SIM-Karte, nämlich IMSI (International Mobile Subscriber Identity) und IMEI (International Mobile Equipment Identity). Diese Kennungen gelten als sehr sensibel, da sie die Verfolgung und Identifizierung eines Geräts und eines Abonnenten in einem Netzwerk ermöglichen.
Die Angreifer gingen noch einen Schritt weiter und nutzten die gestohlenen Daten, um finanziellen Gewinn zu erzielen. Insbesondere gelang es ihnen, SMS- und ARS-Authentifizierungscodes (Automated Response System) abzufangen, die für mobile Mikrozahlungen verwendet werden. Mit diesen Codes tätigten sie betrügerische Zahlungen von den Konten von mindestens 368 Abonnenten in Höhe von insgesamt 240 Millionen KRW (ca. 167.400 US-Dollar). Dies zeigt, dass der Cyberangriff nicht nur ein Datenleck war, sondern sich zu direktem Finanzbetrug entwickelte.
Wie geschah der Angriff
Laut dem Bericht der PIPC war das Epizentrum des Angriffs eine verloren gegangene, KT gehörende zellulare Basisstation, eine sogenannte „Femtozelle“. Eine Femtozelle ist eine kleine Basisstation mit geringer Leistung, die zur Verbesserung der Signalstärke in Innenräumen verwendet wird. Den Angreifern gelang es, ein gültiges Authentifizierungszertifikat aus diesem verlorenen Gerät zu extrahieren, das für die Verbindung mit dem KT-Netzwerk verwendet wurde.
Indem sie dieses Zertifikat auf einem selbstgebauten Gerät installierten, ließen die Angreifer ihr schädliches Gerät für das KT-Netzwerk als legitime Basisstation erscheinen. Über diese „schädliche mobile Station“ begannen sie, den zellularen Datenverkehr von mobilen Geräten nahegelegener KT-Abonnenten abzufangen. Diese Methode ermöglichte es ihnen, die Kommunikation zwischen den Geräten der Nutzer und dem Kernnetzwerk von KT heimlich abzuhören und wertvolle Daten wie Telefonnummern, IMSI und IMEI zu sammeln.
Die Kommission deckte auch eine Reihe kritischer Schwachstellen in den Sicherheitsmaßnahmen von KT auf. Erstens hatten die Zertifikate auf den Femtozellen-Geräten eine außerordentlich lange Gültigkeitsdauer von 10 Jahren, was die jahrzehntelange Nutzung eines gestohlenen Zertifikats ermöglichte. Zweitens waren die Netzwerkverbindungen nicht durch Quell-IP-Adressen eingeschränkt, was es den Angreifern ermöglichte, sich von überall auf der Welt mit dem KT-Netzwerk zu verbinden. Schließlich machte die Existenz einer Netzwerkroute, die den Femtozellen-Verwaltungsserver umging, die Erkennung des schädlichen Geräts nahezu unmöglich. Die Kombination dieser Schwächen ermöglichte es den Angreifern, 11 Monate lang unbemerkt Daten zu sammeln.
Während der Untersuchung wurde auch entdeckt, dass im März 2024 38 IT-Service-Server von KT mit einer Malware namens BPFDoor infiziert worden waren. BPFDoor ist eine extrem heimliche Backdoor für Linux und Solaris, die 2022 öffentlich dokumentiert wurde und es schaffte, über fünf Jahre lang unentdeckt zu bleiben. Sicherheitsforscher hatten diese Malware zuvor mit der chinesischen Spionagegruppe Red Menshen in Verbindung gebracht, die für ihre Angriffe auf Telekommunikationsanbieter bekannt ist. BPFDoor verwendet die Berkeley Packet Filter (BPF)-Technologie, um den Netzwerkverkehr passiv zu überwachen, sodass Angreifer die Backdoor durch das Senden speziell gestalteter „magischer“ Pakete aktivieren können. Diese Methode öffnet keine Lausch-Ports und ist daher mit herkömmlichen Sicherheitssystemen äußerst schwer zu erkennen.
Wer ist betroffen
Direkt von diesem Datenleck betroffen sind die 16.647 KT-Abonnenten, deren persönliche Informationen kompromittiert wurden. Als Südkoreas größter Telekommunikationsbetreiber bedient KT über 13,5 Millionen Mobilfunkkunden, 90 % der Festnetzkunden des Landes und 45 % der Nutzer von Hochgeschwindigkeitsinternet. Diese riesige Kundenbasis verstärkt die potenziellen Auswirkungen des Angriffs erheblich. Insbesondere die 368 Abonnenten, von deren Konten illegal Geld abgebucht wurde, sind die konkreten finanziellen Opfer des Vorfalls.
Was Sie tun können
Wenn Sie KT-Abonnent sind oder sich über eine ähnliche Situation Sorgen machen, gibt es mehrere vorbeugende Maßnahmen, die Sie ergreifen können:
- Überprüfen Sie Ihre Rechnungen: Kontrollieren Sie regelmäßig Ihre Telefon- und Kreditkartenabrechnungen. Wenden Sie sich bei unbekannten oder verdächtigen Mikrozahlungen oder Belastungen umgehend an Ihren Anbieter und Ihre Bank.
- Ändern Sie Ihre Passwörter: Aktualisieren Sie die Passwörter für Ihr KT-Online-Konto und alle anderen Konten, die mit Ihren mobilen Zahlungssystemen verknüpft sind. Achten Sie darauf, starke und einzigartige Passwörter zu verwenden.
- Seien Sie vorsichtig bei SMS-basierter Authentifizierung: Dieser Angriff hat gezeigt, dass per SMS gesendete Bestätigungscodes abgefangen werden können. Entscheiden Sie sich nach Möglichkeit für App-basierte Zwei-Faktor-Authentifizierungsmethoden (2FA), wie z. B. Google Authenticator oder Authy.
- Seien Sie wachsam gegenüber Betrugsversuchen: Angreifer könnten die gestohlenen Telefonnummern für Phishing-Angriffe verwenden. Vermeiden Sie es, auf verdächtige Links und Nachrichten von unbekannten Nummern zu klicken.
Was das Unternehmen sagt
Der Quellartikel enthält keine offizielle Stellungnahme oder Erklärung der KT Corporation zu den von der Kommission zum Schutz personenbezogener Daten bekannt gegebenen Ergebnissen und der verhängten Rekordstrafe. Die weiteren Schritte des Unternehmens und seine öffentliche Kommunikation zu diesem Thema werden erwartet.
Quelle
Dieser Inhalt wurde mithilfe künstlicher Intelligenz über unsere Argus Flow-Anwendung erstellt. Wir arbeiten kontinuierlich an der Verbesserung von Argus Flow; sollten Sie auf Übersetzungsfehler, falsche Quellen oder unbestätigte Informationen stoßen, können Sie uns dies über die Schaltfläche unten melden. Wir danken Ihnen für Ihr Feedback.