个人信息保护委员会（以下简称个人信息委）对因非法超小型基站（FemtoCell）导致个人信息泄露和无授权小额支付事件的KT处以约540亿韩元的罚款。个人信息委在综合评估实际金钱损失的同时，考虑了泄露规模、信息类型、损失赔偿及整改措施等因素，决定了罚款金额。
个人信息委于29日的全体会议上决定对违反安全措施义务的KT处以539亿7900万韩元的罚款，并下达整改命令和改进建议。
个人信息委事务处长杨青三在当天的简报中表示：“此次事件不仅仅是个人信息泄露，更是泄露的个人信息实际导致了金钱损失，严重性非常高。”
根据个人信息委的说法，黑客从失窃的KT FemtoCell中提取证书，并植入自制的非法FemtoCell。随后，从2024年10月8日至2025年9月5日，黑客在没有任何认证程序的情况下，接入KT内部网络，泄露用户个人信息，持续约11个月。
调查显示，黑客诱导用户设备通过非法FemtoCell进行网络数据传输，截获网络收发信息，并将其与另外获取的个人信息结合，尝试进行小额支付，甚至窃取支付认证码。KT在接到关于无授权小额支付等二次损失的相关投诉后，才识别出异常接入。
个人信息委认为，此次事件源于KT移动通信内部网络基本访问控制和管理的疏忽。KT未能管理可确认的FemtoCell的单元ID，导致未授权设备的绕过接入未被检测到。接入内部网络的FemtoCell的互联网地址（IP）也未限制在KT的范围内。
罚款的计算基础包括KT的LTE和5G无线通信收入。FemtoCell是基于LTE的设备，但在某些情况下，5G服务也会与LTE网络共同使用。
此次罚款约为个人信息委此前对SK电信个人信息泄露事件处以的1348亿韩元的40%。虽然两起事件均以移动通信相关收入为基础进行计算，但个人信息委对违规行为的严重性、泄露规模和信息类型等的判断存在差异。
个人信息委将SK电信事件认定为“非常严重的违规”，而KT事件则被分类为“严重违规”。KT事件中实际发生的无授权小额支付损失被重视，但确认的泄露人数相对较少，泄露信息也仅包括手机号码、IMSI和IMEI三种，且未发现类似SK电信事件的用户认证信息泄露。
杨处长表示：“二次损失的发生被视为非常严重的因素，同时综合考虑了相对较小的泄露规模、信息类型、损失赔偿和整改措施等。”
此外，此次罚款仅限于通过FemtoCell导致的个人信息泄露和无授权小额支付事件，KT的恶意代码感染事件尚未得出结论。
个人信息委确认KT在2024年3月意识到服务器的恶意代码感染情况，却未向政府报告侵害事实，并未对个人信息处理服务器进行详细分析。个人信息委决定将部分服务器的日志删除、虚假材料提交和证言反复等行为视为调查阻碍，决定对KT进行举报。
个人信息委表示，如通过调查确认新的事实，将对恶意代码感染事件进行单独处分。
※ 本报道经人工智能（AI）系统翻译与编辑。
