L'autorité sud-coréenne de protection des données a sanctionné l'opérateur de télécommunications KT pour des failles de sécurité majeures sur son réseau de femtocellules ayant entraîné une fuite de données et un préjudice financier direct pour les utilisateurs. L'autorité a également engagé des poursuites contre KT et son concurrent LGU+ pour entrave à l'enquête, notamment par la destruction de preuves.

Faits et contexte

L'autorité sud-coréenne, la Commission de protection des informations personnelles (PIPC), a aujourd'hui publié une décision de sanction à l'encontre de la société KT (comprenant le prononcé d'une amende de 53 979 000 000 wons sud-coréens (environ 36 millions d'euros)) pour des manquements en lien avec la sécurisation de son réseau de télécommunication et l'entrave à une enquête.

L'affaire trouve son origine dans des signalements de transactions frauduleuses par micro-paiement et des articles de presse, qui ont conduit la PIPC à ouvrir une enquête le 10 septembre 2025 sur une potentielle fuite de données.

Motifs de la décision

L'enquête a révélé deux séries de manquements distincts. Le premier concerne la fuite de données via le réseau de femtocellules de KT, tandis que le second porte sur des actes d'obstruction à l'enquête de la part de KT et de l'opérateur LGU+.

Concernant la fuite de données, l'autorité a retenu le manquement suivant à l'encontre de KT :

• Obligation d'assurer la sécurité des données personnelles : L'autorité a jugé que KT, en tant qu'opérateur et propriétaire des femtocellules (mini-stations de base installées chez les clients), était responsable de la sécurisation de l'accès à son réseau central. Or, l'enquête a mis en évidence de graves défaillances dans les mesures de contrôle d'accès. Un attaquant a pu extraire un certificat d'une femtocellule perdue, l'implanter sur un équipement non autorisé et se connecter au réseau interne de KT pendant près de 11 mois (du 8 octobre 2024 au 5 septembre 2025) sans être détecté. L'autorité a relevé plusieurs négligences techniques : la durée de validité des certificats était de 10 ans, aucune restriction par adresse IP n'était appliquée aux connexions des femtocellules (autorisant des connexions depuis l'étranger), et aucun système de détection des connexions anormales basées sur les identifiants de cellule n'était en place. Ces failles ont permis la fuite des données de 16 647 utilisateurs (numéro de téléphone, identifiant international d'abonné mobile (IMSI), identifiant international d'équipement mobile (IMEI)) et ont directement conduit à des préjudices financiers s'élevant à environ 240 millions de wons par le biais de micro-paiements frauduleux.

Concernant l'entrave aux investigations, l'autorité a constaté des agissements graves de la part des deux opérateurs. D'une part, KT a été mis en cause pour avoir dissimulé un incident de sécurité survenu en mars 2024, au cours duquel 38 de ses serveurs ont été infectés par un logiciel malveillant. L'entreprise n'a pas notifié l'incident, a supprimé une partie des journaux de connexion avant l'enquête et a initialement fourni de fausses informations à l'autorité en niant l'existence de données de journalisation. D'autre part, LGU+ a fait l'objet d'une enquête suite à la révélation d'une fuite de données en août 2025. Cependant, avant le début des investigations de la PIPC, l'entreprise a réinstallé les systèmes d'exploitation ou mis au rebut les serveurs concernés, rendant impossible la détermination de l'origine et de l'étendue de la fuite.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 53 979 000 000 wons sud-coréens (environ 36 millions d'euros) à KT pour le manquement à son obligation de sécurité.

En outre, l'autorité a ordonné à KT de publier la sanction sur son site internet, de réaliser un audit de vulnérabilité de ses équipements de réseau sans fil, de renforcer ses mesures de contrôle d'accès, de clarifier les responsabilités de son délégué à la protection des données et de lui faire rapport sous trois mois. Elle a également recommandé à l'entreprise d'étendre sa certification de système de gestion de la protection des informations personnelles (ISMS-P) à ses systèmes de réseau de télécommunication. Par ailleurs, l'autorité a décidé de porter plainte contre KT pour entrave à l'enquête et de demander l'ouverture d'une enquête pénale à l'encontre de LGU+ pour destruction de preuves.

Enseignements

Cette décision rappelle que :

• La responsabilité de la sécurisation des équipements réseau déployés chez les clients (tels que les femtocellules ou les boîtiers internet) incombe entièrement à l'opérateur qui les fournit et en contrôle l'accès à son réseau central.
• L'absence de mesures de sécurité fondamentales, comme la limitation des accès par adresse IP, une gestion stricte des certificats et la surveillance des connexions anormales, constitue un manquement grave à l'obligation de sécurité.
• La dissimulation d'un incident de sécurité ou la destruction de preuves, y compris avant le lancement officiel d'une enquête par une autorité, constituent des infractions graves pouvant entraîner des poursuites pénales distinctes des sanctions administratives.
• La matérialisation d'un préjudice financier direct pour les personnes concernées à la suite d'une violation de données est un facteur aggravant majeur dans la détermination du montant de l'amende.
• Le délégué à la protection des données doit disposer d'une autorité et de responsabilités réelles pour superviser la sécurité des données sur l'ensemble des périmètres de l'entreprise, y compris les infrastructures techniques et réseau.