Nach Darstellung der PIPC nutzten die Angreifer das Zertifikat aus einer verlorenen KT-Basisstation vom Typ Femtozelle, installierten es auf einem selbstgebauten Gerät und schleusten dieses so in das Netz des Telekommunikationsanbieters ein. Das manipulierte System erschien als legitimer Netzbestandteil und fing den Mobilfunkverkehr von Geräten in der Umgebung ab, die sich mit der präparierten Femtozelle verbanden.

Dadurch konnten nach Angaben der Behörde Verbindungen zwischen Endgeräten der Nutzer und dem Kernnetz von KT mitgeschnitten werden. Erfasst wurden unter anderem Mobilfunknummern sowie IMSI- und IMEI-Nummern. Später kombinierten die Täter diese abgefangenen Daten laut PIPC mit weiteren personenbezogenen Informationen und erlangten zudem per SMS und ARS übermittelte Authentifizierungscodes, die für mobile Kleinstzahlungen verwendet wurden.

Die Kommission wirft KT unzureichende Sicherheitsvorkehrungen vor. So seien Zertifikate für Femtozellen zehn Jahre lang gültig geblieben, Verbindungen nicht nach Quell-IP-Adressen beschränkt worden, und es habe einen Pfad gegeben, der den Verwaltungsserver für Femtozellen umging. Nach Einschätzung der Behörde konnten die Angreifer deshalb elf Monate lang mit dem KT-Netz verbunden bleiben und sensible Kundendaten sammeln, ohne entdeckt zu werden.

Im Verlauf der Untersuchung stieß die PIPC außerdem auf einen weiteren Vorfall: Demnach waren bereits im März 2024 insgesamt 38 Server im KT-IT-Servicenetz mit Schadsoftware kompromittiert worden, darunter BPFDoor. Die Backdoor für Linux und Solaris wurde öffentlich 2022 beschrieben und blieb laut Quelltext mehr als fünf Jahre unentdeckt. PwC brachte ihren Einsatz später mit der China-nahen Spionagegruppe Red Menshen in Verbindung, die Telekommunikationsanbieter und Organisationen in anderen kritischen Sektoren ins Visier genommen habe.

BPFDoor nutzt Berkeley Packet Filter, um den Netzwerkverkehr passiv zu überwachen. Laut Quelltext lässt sich die Schadsoftware über speziell präparierte „magische“ Pakete aktivieren, ohne dass sie auf offene lauschende Ports angewiesen ist. Das umgeht Firewall-Schutzmechanismen und ermöglicht verdeckten Fernzugriff per Shell.

Besonders schwer wiegt aus Sicht der Kommission, dass KT von der Malware-Infektion seit März 2024 gewusst haben soll, den Vorfall aber nicht an die Behörden meldete und intern ohne Transparenz gegenüber Kunden behandelte. Später habe das Unternehmen bei Malware-Untersuchungen nach einem Sicherheitsvorfall bei dem anderen Telekommunikationsanbieter LG U+ sogar Protokolle auf einigen kompromittierten Servern gelöscht. Die PIPC erklärt, wegen dieser gelöschten historischen Netzprotokolle lasse sich nicht mehr feststellen, ob zusätzlich weitere Kundendaten entwendet wurden.

Als Teil der Maßnahmen ordnete die PIPC an, dass KT die Sicherheitskontrollen für Femtozellen und andere Telekommunikationsausrüstung stärken, die Governance beim Schutz personenbezogener Daten ausbauen, dem Chief Privacy Officer eine substanziellere Aufsichtsrolle geben und die ISMS-P-Zertifizierung auf die Mobilfunknetzsysteme ausweiten muss. Zudem kündigte die Kommission an, Gesetzesänderungen vorantreiben zu wollen, die strengere Strafen für Unternehmen vorsehen, die vor oder während Untersuchungen Beweismittel verbergen oder vernichten.