تسرب بيانات شخصية لـ 16,647 شخصاً بسبب إدارة رديئة للمحطات الصغيرة.. وضحايا 368 شخصاً يعانون من خسائر بدفع إجباري بقيمة 240 مليون وون
شركة كي تي تواجه إحالة جنائية لعدم الإبلاغ عن الإصابة بالبرامج الضارة وحذف السجلات وتقديم مستندات كاذبة
إحالة شركة إل جي يوبلس للتحقيق لتفكيك الخادم قبل بدء التحقيق.. تعزيز العقوبات على إخفاء الأدلة والتخلص منها
فرضت لجنة حماية البيانات الشخصية غرامة إدارية بقيمة 539.79 مليار وون على شركة كي تي لانتهاكها قانون حماية البيانات الشخصية. جاءت هذه الإجراءات في أعقاب تسرب بيانات شخصية نتيجة الإدارة الرديئة للمحطات الصغيرة، وحدوث أضرار فعلية من المدفوعات الصغيرة غير المصرح بها.
أعلنت لجنة حماية البيانات الشخصية في 30 من الشهر الجاري أنها عقدت الاجتماع الكامل الخامس عشر في 29 من الشهر الماضي، وقررت فرض غرامة إدارية على شركة كي تي بقيمة 539.79 مليار وون، وأصدرت أوامر بتصحيح الأوضاع وتوصيات بتحسينها، وقررت نشر نتائج المعالجة. وفيما يتعلق بالأفعال التي عطلت التحقيق، مثل تقديم مستندات كاذبة وحذف السجلات ذات الصلة أثناء التحقيق، قررت الإحالة للنيابة العامة. كما قررت الإحالة إلى جهات التحقيق بشأن شركة إل جي يوبلس التي قامت بتفكيك الخادم ذي الصلة قبل بدء التحقيق.
أسفرت نتائج التحقيق الذي أجرته لجنة حماية البيانات الشخصية عن أن المخترقين قاموا بنسخ شهادة المحطة الصغيرة المفقودة من شركة كي تي وتركيبها على محطة صغيرة من تصنيعهم الخاص، ثم الاتصال بشبكة الهاتف المحمول الخاصة بشركة كي تي. وبعد ذلك، قاموا باعتراض المعلومات المرسلة والمستقبلة بين جهاز المستخدم والشبكة الداخلية واستخدموها بشكل غير قانوني في المدفوعات الصغيرة للهاتف المحمول.
خلال هذه العملية، تم تسريب أرقام هواتف محمول ورقم معرّف المشترك ورقم معرّف الجهاز وما إلى ذلك لـ 16,647 مستخدماً من شركة كي تي. ومن بينهم، تبين أن 368 شخصاً عانوا من خسائر بدفع صغير غير مصرح به بقيمة حوالي 240 مليون وون.
رأت لجنة حماية البيانات الشخصية أن شركة كي تي أهملت إدارة التحكم الأساسي بالوصول، حيث حددت مدة صلاحية شهادة المحطة الصغيرة التي تتصل بالشبكة الداخلية لمدة 10 سنوات ولم تقيد عناوين IP للاتصال. لم تجهز أيضاً بنظام مناسب لكشف ومنع اتصال المحطات الصغيرة غير المصرح بها، مما أدى إلى عدم اكتشاف المخترقين وهم يتصلون بالشبكة الداخلية لشركة كي تي لمدة حوالي 11 شهراً.
تبين أيضاً أن شركة كي تي أدركت حادثة إصابة منفصلة بالبرامج الضارة لكنها لم تبلغ الحكومة عنها ولم تحلل بشكل صحيح ما إذا حدث تسرب للبيانات الشخصية. وفي وقت لاحق، قامت بحذف بعض سجلات الخادم وقدمت بيانات كاذبة في التحقيق بقول لجنة حماية البيانات الشخصية بعدم وجود المستندات ذات الصلة، ثم قدمت المستندات لاحقاً، مما أظهر تعطيلاً للتحقيق.
أصدرت لجنة حماية البيانات الشخصية أوامر بتصحيح الأوضاع لشركة كي تي بتعزيز التدابير الأمنية لتحديد الثغرات في معدات الاتصالات اللاسلكية بما فيها المحطات الصغيرة ومنع الوصول غير القانوني، وتوضيح دور ومسؤولية مسؤول حماية البيانات الشخصية. وأوصت باتساع نطاق الاعتماد على نظام إدارة حماية البيانات الشخصية ليشمل أنظمة الشبكة الداخلية للاتصالات المحمولة.
بالإضافة إلى ذلك، ستسعى لجنة حماية البيانات الشخصية إلى تعديل قانون حماية البيانات الشخصية بحيث تصبح الأفعال الرامية إلى إخفاء أو التخلص من الأدلة المتعلقة بتسرب البيانات الشخصية قابلة للعقاب قبل بدء التحقيق. كما ستسعى إلى وضع خطة لفرض غرامة إدارية تعادل 3% من إجمالي المبيعات السنوية في حالة إخفاء أو التخلص من الأدلة، وفرض غرامة تنفيذية تعادل 0.3% من المبيعات اليومية في حالة عدم التعاون في التحقيق أو عدم الامتثال لأوامر التصحيح.
من جانبها، أظهرت التحقيقات بشأن شركة إل جي يوبلس أن البيانات الشخصية للموظفين والعاملين بالشركات الشريكة قد تسربت إلى خارج الشركة، لكن الشركة قامت بإعادة تثبيت نظام التشغيل أو تفكيك الخادم ذي الصلة قبل بدء لجنة حماية البيانات الشخصية في التحقيق. قالت اللجنة إنه بسبب ذلك أصبح من الصعب تأكيد ظروف التسرب الدقيقة وما إذا كان هناك أضرار إضافية، وقررت الإحالة للتحقيق بتهمة إعاقة العمل الحكومي.
قالت سونغ كيونغ-هي، رئيسة لجنة حماية البيانات الشخصية: "يجب أن يكون هذا الإجراء نقطة تحول لتعزيز القدرات الأمنية في صناعة الاتصالات التي توفر خدمات أساسية لحياة الناس. وسنحسّن النظام بحيث تصبح أفعال إخفاء أو تقليل الحوادث ضارة بشكل كبير للشركات".
* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.