韓国の個人情報保護委員会は30日、無断少額決済被害につながったKTの個人情報漏えいを巡り、539億7900万ウォンの課徴金を科すと発表した。金銭被害が実際に発生した点を重くみる一方、漏えい件数や情報の種類が限られていたことも処分水準に反映した。

同委員会は29日の第15回全体会議で、個人情報保護法違反にあたるとして、KTに課徴金のほか是正命令、改善勧告、公表命令を議決した。

あわせて、マルウェア感染事故を政府に届け出なかったことや、調査過程で虚偽資料を提出したことについては、調査妨害にあたるとしてKTを捜査機関に告発する方針を示した。LG Uplusが個人情報漏えい疑惑に関連するサーバのOSを再インストールしたり、一部サーバを廃棄したりした行為についても、捜査を要請した。

### 金銭被害を重視　課徴金は漏えい規模も反映

現行の個人情報保護法では、安全措置義務違反が認められた場合、売上高全体の3％以下の範囲で課徴金を科すことができる。実際の算定では、違反行為と無関係な売上を除いた関連売上高を基準に、違反の重大性や漏えい規模、被害の程度、是正努力などを反映する。

KTの直近3年間の無線サービス平均売上高は約6兆5000億ウォン。上限いっぱいの3％を当てはめた場合、課徴金は約1950億ウォンとなる。

今回、同委員会はLTEと5G移動通信の売上を関連売上高に含めた。事故に利用されたフェムトセルはLTE装置だが、一部地域では5GサービスでもLTE網を併用している点を考慮したという。一方で、IPTVや超高速インターネットなど、事故と直接関係のない売上は対象から外した。

同委員会は、漏えいした情報が無断少額決済に悪用され、二次被害が生じた点を深刻に受け止めたと説明した。ただ、漏えい件数は1万6647人分で、先行事例のSKTに比べて小さかったことに加え、漏えいした情報も携帯電話番号、加入者識別番号（IMSI）、端末識別番号（IMEI）の3種類に限られていたことを考慮したとした。

被害補償と是正措置が迅速に進められた点も反映し、課徴金は539億7900万ウォンに決まった。具体的な関連売上高や適用した賦課率は、議決書の確定後に公表する予定だ。

### フェムトセル管理に不備　迂回経路から内部網へ接続

民官合同調査団はこれに先立ち、個人情報漏えいが2万2227件あったと発表していた。これに対し同委員会は、漏えい情報から法人契約分や複数回線契約などの重複を除き、実人数ベースで算定した結果が1万6647人分だと説明した。

事故原因については、KTのフェムトセル管理全般に不備があったと判断した。KTは内部ネットワークへのアクセスに使うフェムトセル証明書の有効期間を10年に設定していた。

さらに、フェムトセル接続時のIPアドレスに制限を設けておらず、他社のインターネット網や海外IP経由でもKTの内部ネットワークに接続できたという。フェムトセル管理サーバを経由せず、内部ネットワークに到達できる迂回経路も存在していた。

フェムトセルがコアネットワークに接続する際に付与される識別子「セルID」の管理も不十分で、非認可装置による異常アクセスを検知・遮断する体制が不足していたとした。

この結果、ハッカーは追加認証なしに2024年10月から2025年9月までの約11カ月間、KTの内部ネットワークにアクセスしていたという。KTが異常アクセスを把握したのは、少額決済被害と利用者からの苦情が発生した後だった。

これに対しKTは審議の過程で、ハッカーがフェムトセルを自作して通信信号を盗聴した前例のないタイプの事故で、事前の想定や対応は困難だったと主張した。

### 追加処分の可能性も　LG Uplusは捜査結果踏まえ判断

同委員会はKTに対し、企業サイトで課徴金処分の事実を公表するよう命じた。あわせて、無線通信網装置の脆弱性点検と、個人情報に対する安全措置の強化も是正命令に盛り込んだ。

また、個人情報保護責任者（CPO）を中心としたガバナンス整備に加え、情報保護および個人情報保護管理体系（ISMS-P）の認証範囲を移動通信ネットワーク・システムまで広げるよう改善勧告した。

一方、フェムトセル事故の調査過程では、KTのサーバ38台が2024年3月にバックドア型マルウェア「BPFドア」などに感染していた事実も確認された。KTがこの事故を政府に届け出ず、一部ログを削除したほか、調査過程で供述を翻し、資料提出も遅れた点について、同委員会は調査妨害にあたると判断し、告発する方針だ。

その後の調査では、当時サーバに対するSQLインジェクション攻撃があり、一部の個人情報が漏えいした状況も確認された。マルウェア事故については引き続き調査を進めており、捜査で新たな事実が確認されれば、別途処分を科す可能性があるとしている。

LG Uplusについても、追加調査の可能性を残した。LG Uplusは、個人情報漏えいの可能性を認識した後、個人情報保護委員会の調査着手前に関連サーバのOSを再インストールし、一部サーバを廃棄していた。

同委員会は、証拠隠滅や廃棄の可能性を排除しきれないとして捜査を要請し、調査を中断している。捜査結果で新事実が確認されれば、調査と制裁手続きを再開する方針だ。

また同委員会は、証拠隠滅や廃棄行為に対し、売上高全体の3％以下で別途課徴金を科す制度の導入も進めている。国会には、履行強制金と証拠保全命令制度の導入を盛り込んだ法案も提出されている。

ただし、新制度が適用されるのは法施行後に発生した行為に限られ、今回の事案には遡及適用されない。

KTは今回の処分を受け入れる考えを示した。会社側は「処分結果を重く受け止めている。顧客および国民の皆さまに大きな心配と不安を与えたことを改めて深くおわびする」とコメントした。

そのうえで、「個人情報保護体制を原点から見直し、セキュリティ投資の拡大や全社的な保護能力の強化を通じて、再発防止と信頼回復に全力を尽くす」とした。