Korea Selatan Denda Raksasa Telekomunikasi KT Rp637 Miliar Akibat Kebocoran Data Pelanggan

Komisi Perlindungan Informasi Pribadi Korea Selatan (Personal Information Protection Commission/PIPC) menjatuhkan denda sebesar KRW 53,979 miliar atau sekitar US$39 juta kepada KT Corporation atas pelanggaran perlindungan data pribadi yang mengakibatkan kebocoran informasi pelanggan.

Sanksi tersebut dijatuhkan setelah investigasi menemukan bahwa jaringan internal perusahaan telah disusupi selama hampir 11 bulan, tepatnya sejak 8 Oktober 2024 hingga 5 September 2025.

Investigasi Berawal dari Laporan Transaksi Mencurigakan

PIPC mulai melakukan penyelidikan pada 10 September 2025 setelah menerima laporan mengenai transaksi pembayaran mikro (micropayment) yang diduga dilakukan secara ilegal.

Sehari kemudian, KT menyampaikan pemberitahuan awal mengenai insiden tersebut dan melaporkan bahwa sekitar 5.500 pelanggan terdampak.

Namun hasil investigasi pemerintah menunjukkan jumlah korban sebenarnya jauh lebih besar. Sebanyak 16.647 pelanggan diketahui mengalami kebocoran data pribadi, sementara sedikitnya 368 pelanggan menjadi korban penyalahgunaan pembayaran seluler dengan total kerugian mencapai KRW 240 juta atau sekitar US$167.400.

Bermula dari Base Station yang Hilang

Penyelidikan mengungkap bahwa titik awal serangan berasal dari sebuah femtocell atau stasiun basis seluler mini milik KT yang hilang.

Perangkat tersebut masih menyimpan sertifikat autentikasi resmi, yang kemudian diambil oleh pelaku dan dipasang pada perangkat buatan sendiri sehingga dikenali sebagai bagian sah dari jaringan KT.

Dengan memanfaatkan perangkat palsu tersebut, pelaku dapat menangkap lalu lintas komunikasi dari perangkat seluler di sekitarnya yang terhubung ke jaringan.

Informasi yang berhasil diperoleh meliputi:

• Nomor telepon pelanggan.
• Nomor IMSI (International Mobile Subscriber Identity).
• Nomor IMEI perangkat.

Selanjutnya, data tersebut dikombinasikan dengan informasi pribadi lainnya serta kode autentikasi SMS dan ARS untuk melakukan penyalahgunaan layanan pembayaran seluler.

Celah Keamanan Dinilai Sangat Lemah

PIPC menilai KT gagal menerapkan pengamanan yang memadai terhadap infrastruktur telekomunikasinya.

Beberapa kelemahan yang ditemukan antara lain:

• Sertifikat autentikasi femtocell berlaku hingga 10 tahun.
• Tidak ada pembatasan koneksi berdasarkan alamat IP.
• Terdapat jalur komunikasi yang dapat melewati server pengelolaan femtocell.

Kombinasi kelemahan tersebut memungkinkan pelaku tetap berada di dalam jaringan KT selama hampir satu tahun tanpa terdeteksi.

Malware BPFDoor Juga Ditemukan

Selain insiden kebocoran data pelanggan, penyelidikan juga menemukan bahwa 38 server jaringan layanan TI KT telah terinfeksi malware, termasuk BPFDoor, sejak Maret 2024.

BPFDoor merupakan backdoor untuk sistem Linux dan Solaris yang dikenal sangat sulit dideteksi karena memanfaatkan teknologi Berkeley Packet Filter (BPF). Malware ini dapat menerima perintah melalui paket jaringan khusus tanpa membuka port komunikasi sehingga mampu menghindari deteksi firewall.

PIPC menyatakan KT telah mengetahui keberadaan malware tersebut sejak awal, namun memilih menanganinya secara internal tanpa melaporkannya kepada regulator maupun pelanggan.

Diduga Menghapus Bukti

Komisi juga menyoroti tindakan KT yang menghapus sebagian log jaringan ketika melakukan investigasi internal terhadap malware.

Akibat penghapusan log tersebut, regulator tidak dapat memastikan apakah terdapat data pelanggan lain yang turut dicuri selama periode kompromi.

Praktik serupa sebelumnya juga ditemukan pada operator telekomunikasi Korea Selatan lainnya, LG U+, yang diketahui menghapus bukti digital saat menangani insiden keamanan.

KT Diperintahkan Memperkuat Keamanan

Selain menjatuhkan denda, PIPC juga menginstruksikan KT untuk segera meningkatkan sistem keamanannya melalui sejumlah langkah, di antaranya:

• Memperkuat perlindungan pada femtocell dan perangkat telekomunikasi lainnya.
• Meningkatkan tata kelola perlindungan data pribadi.
• Memastikan Chief Privacy Officer memiliki peran yang lebih besar dalam pengawasan keamanan.
• Memperluas cakupan sertifikasi ISMS-P hingga mencakup sistem jaringan seluler.

Di sisi lain, PIPC juga berencana mendorong perubahan regulasi agar perusahaan yang menghapus atau menyembunyikan bukti selama proses investigasi dapat dikenai sanksi yang lebih berat di masa mendatang.

Kasus ini menjadi salah satu denda perlindungan data terbesar di Korea Selatan dan menunjukkan semakin ketatnya pengawasan regulator terhadap perusahaan yang mengelola informasi pribadi dalam jumlah besar.