Ủy ban Bảo vệ Thông tin Cá nhân phạt KT 540 tỷ đồng vì quản lý kém femtocell

Ủy ban Bảo vệ Thông tin Cá nhân (gọi tắt là Ủy ban) đã quyết định phạt KT 539 tỷ 790 triệu đồng vì vi phạm luật bảo vệ thông tin cá nhân. Hành động này được thực hiện sau khi phát hiện rò rỉ thông tin cá nhân và thiệt hại từ việc thanh toán nhỏ không hợp pháp do quản lý kém femtocell.

Trong cuộc họp toàn thể lần thứ 15 diễn ra vào ngày 29 tháng 7, Ủy ban đã thông qua quyết định phạt KT 539 tỷ 790 triệu đồng, đồng thời yêu cầu KT thực hiện các biện pháp khắc phục và công bố kết quả xử lý. Ủy ban cũng quyết định sẽ khởi tố những hành vi cản trở điều tra như việc cung cấp tài liệu sai sự thật và xóa log. Đối với LG Uplus, đơn vị đã tiêu hủy máy chủ liên quan trước khi điều tra được tiến hành, Ủy ban sẽ đề nghị cơ quan điều tra tiến hành điều tra.

Kết quả điều tra cho thấy, tin tặc đã sao chép chứng chỉ của femtocell bị mất của KT và lắp đặt vào femtocell tự chế, sau đó truy cập vào mạng di động của KT. Tin tặc đã đánh cắp thông tin giữa thiết bị người dùng và mạng nội bộ, từ đó lợi dụng cho việc thanh toán nhỏ qua điện thoại di động.

Trong quá trình này, thông tin của 16.647 người dùng KT, bao gồm số điện thoại, mã số đăng ký và mã số thiết bị đã bị rò rỉ. Trong số đó, 368 người đã bị thiệt hại khoảng 2 tỷ 400 triệu đồng từ việc thanh toán nhỏ không hợp pháp.

Ủy ban nhận định rằng KT đã lơ là trong việc quản lý kiểm soát truy cập cơ bản, như việc thiết lập thời gian hiệu lực chứng chỉ femtocell lên đến 10 năm và không hạn chế địa chỉ IP truy cập. Hệ thống phát hiện và chặn truy cập femtocell không hợp pháp cũng không được thiết lập đúng cách, dẫn đến việc tin tặc có thể truy cập vào mạng nội bộ của KT trong khoảng 11 tháng mà không bị phát hiện.

Ngoài ra, Ủy ban cũng xác nhận rằng KT đã nhận biết về một sự cố nhiễm mã độc nhưng không báo cáo cho chính phủ và không phân tích đúng mức về việc rò rỉ thông tin cá nhân. KT cũng đã xóa một số log máy chủ và cung cấp thông tin sai sự thật trong quá trình điều tra của Ủy ban, sau đó mới cung cấp tài liệu.

Ủy ban đã yêu cầu KT tăng cường các biện pháp an toàn như kiểm tra lỗ hổng của femtocell và thiết bị mạng không dây, đồng thời làm rõ vai trò và trách nhiệm của người chịu trách nhiệm bảo vệ thông tin cá nhân. Ủy ban cũng khuyến nghị mở rộng phạm vi chứng nhận hệ thống quản lý bảo vệ thông tin cá nhân đến cả hệ thống mạng di động.

Hơn nữa, Ủy ban sẽ thúc đẩy việc sửa đổi luật bảo vệ thông tin cá nhân để có thể xử phạt các hành vi che giấu hoặc tiêu hủy chứng cứ liên quan đến rò rỉ thông tin cá nhân trước khi điều tra được tiến hành. Các biện pháp xử phạt sẽ bao gồm phạt tiền tương đương 3% doanh thu tổng cộng nếu có hành vi che giấu hoặc tiêu hủy chứng cứ, và phạt 0,3% doanh thu hàng ngày nếu không hợp tác trong điều tra hoặc không thực hiện các yêu cầu khắc phục.

Trong khi đó, LG Uplus đã xác nhận rằng thông tin cá nhân của nhân viên và đối tác đã bị rò rỉ ra bên ngoài, nhưng trước khi điều tra của Ủy ban được tiến hành, họ đã cài đặt lại hệ điều hành của máy chủ hoặc tiêu hủy máy chủ. Ủy ban cho biết điều này đã làm cho việc xác định chính xác nguyên nhân rò rỉ và thiệt hại bổ sung trở nên khó khăn, và sẽ đề nghị điều tra về hành vi cản trở thực hiện công vụ.

Chủ tịch Ủy ban, Song Kyung-hee, cho biết: "Quyết định này cần phải trở thành cơ hội để tăng cường năng lực bảo mật của toàn ngành viễn thông, cung cấp dịch vụ thiết yếu cho đời sống người dân. Chúng tôi sẽ cải cách hệ thống để các hành vi che giấu hoặc giảm nhẹ sự cố sẽ gây ra thiệt hại nghiêm trọng cho doanh nghiệp."



* Bài viết này được dịch tự động bằng AI.

• #Ủy ban Bảo vệ Thông tin Cá nhân
• #KT
• #phạt tiền