個人情報保護委員会（以下、個人情報委）は、違法な超小型基地局（フェムトセル）を通じて個人情報漏洩と無断小額決済事故が発生したKTに対し、約540億円の過料を科した。個人情報委は、実際の金銭的被害を重く評価しつつ、漏洩規模や情報の種類、被害補償および是正措置などを総合的に考慮して過料を算定した。
個人情報委は、29日の全体会議で安全措置義務を違反したKTに対し、539億7900万円の過料を科し、是正命令と改善勧告を出すことを決定したと30日に発表した。
調査結果によれば、KTはフェムトセルと移動通信の核心ネットワークへのアクセス管理を怠り、1万6647人の利用者の携帯電話番号、加入者識別番号（IMSI）、端末識別番号（IMEI）が漏洩した。この中で368人には約2400万円の無断小額決済被害が発生した。
個人情報委の事務局長はこの日、ブリーフィングで「今回の事件は単なる個人情報漏洩にとどまらず、漏洩した個人情報が実際の金銭的被害につながった事例である点で、深刻さが非常に大きい」と述べた。
個人情報委によると、ハッカーは失われたKTのフェムトセルから認証書を抜き取り、自ら製作した違法フェムトセルに埋め込んだ。その後、2024年10月8日から2025年9月5日までの約11ヶ月間、別の認証手続きなしにKT内部網にアクセスし、利用者の個人情報を漏洩させた。
ハッカーは利用者の端末が違法フェムトセルを経由するように誘導し、ネットワークの送受信情報を傍受し、これを別途確保した個人情報と結合して小額決済を試み、その後決済認証コードまで奪取したことが調査で明らかになった。KTは無断小額決済などの二次被害に関する関連の苦情が寄せられて初めて異常接続を特定した。
個人情報委は今回の事故がKTの移動通信内部網に対する基本的なアクセス管理の怠慢から生じたと判断した。KTは認可されたフェムトセルかどうかを確認できるセルIDを管理しておらず、未認可の機器の迂回接続を検出できなかったと説明している。内部網に接続するフェムトセルのインターネットアドレス（IP）もKTの帯域などに制限されていなかったことが明らかになった。
過料の算定の基礎となった売上高はKTのLTE、5G無線通信の売上が反映されている。フェムトセルはLTE基盤の機器であるが、5Gサービスも一部区間でLTE網を併用しているためである。
今回の過料は、個人情報委が以前にSKテレコムの個人情報漏洩事件に科した約1348億円の40%程度である。両事件とも移動通信関連の売上を算定の基礎としたが、個人情報委が判断した違反行為の重大性や漏洩規模、情報の種類などに違いがあった。
個人情報委はSKテレコム事件を『非常に重大な違反』と判断したのに対し、KT事件は一段階低い『重大な違反』として分類した。KT事件で実際に無断小額決済被害が発生した点は重く評価されたが、確認された漏洩人数が相対的に少なく、漏洩情報も携帯電話番号、IMSI、IMEIの3種類にとどまる点が考慮された。SKテレコム事件のような加入者認証情報の漏洩は確認されていない。
事務局長は「二次被害が発生したという点は非常に深刻な要素と見ている」とし、「相対的に小さな漏洩規模と情報の種類、被害補償と是正措置などを総合的に考慮した」と述べた。
なお、今回の過料はフェムトセルを通じた個人情報漏洩と無断小額決済事件に限られた処分であり、KTの悪性コード感染事件についてはまだ結論が出ていない状況である。
個人情報委はKTが2024年3月にサーバーの悪性コード感染を認識しながら政府に侵害事実を報告せず、個人情報処理サーバーに対する詳細な分析も行っていなかった状況を確認した。個人情報委は一部サーバーのログ削除や虚偽資料の提出、供述の翻弄などを調査妨害と判断し、KTを告発することにした。
個人情報委は捜査を通じて新たな事実が確認されれば、悪性コード感染事件について別途処分を行う方針である。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
