SK Telecom multada con un récord de 134.800 millones de wones por la filtración de datos de SIM que afectó a 23 millones de usuarios

SK Telecom, el mayor operador de telecomunicaciones de Corea del Sur con 23 millones de suscriptores, recibió el 28 de agosto de 2025 una multa récord de 134.800 millones de wones (97,2 millones de dólares) por vulneración de la privacidad. La Comisión de Protección de Información Personal (PIPC) la calificó como la mayor sanción jamás impuesta en virtud de la Ley de Protección de Información Personal, citando «fallos básicos de seguridad y una gestión deficiente».

La brecha comenzó ya en 2021, y los atacantes permanecieron sin ser detectados dentro de la red de SK Telecom durante cuatro años. Cuando el hackeo se hizo público en abril de 2025, se reveló que los atacantes habían accedido a 25 categorías de datos personales de suscriptores de LTE y 5G, incluidos números de teléfono, números de Identidad Internacional de Abonado Móvil (IMSI), identificadores de dispositivo (IMEI) y claves de autenticación USIM.

La investigación de la PIPC concluyó que SK Telecom había conectado sus redes de internet, de gestión y interna en el mismo sistema sin restringir el acceso externo. Los servidores de gestión estaban conectados innecesariamente al Servidor de Abonado Local (HSS), donde se produjo la brecha. La empresa no cifró 26,1 millones de claves de autenticación SIM y las almacenó en bases de datos en texto plano. Ignoró los registros de detección de intrusiones y no aplicó los parches de seguridad disponibles, incluido uno de 2016. La función del responsable de privacidad se limitaba a los servicios de TI, lo que dejaba la infraestructura de telecomunicaciones fuera de su supervisión.

La brecha obligó a SK Telecom a lanzar un programa gratuito de sustitución de tarjetas USIM para los 23 millones de suscriptores, lo que provocó escasez temporal de tarjetas SIM en todo el país y desencadenó una investigación gubernamental. La multa récord sacudió al sector de las telecomunicaciones de Corea del Sur, que nunca había enfrentado una sanción por privacidad de esta magnitud.

Las claves SIM se almacenaron sin cifrar y se omitieron los parches, por lo que los atacantes operaron durante cuatro años; la multa récord de 134.800 millones de wones fue la factura de esa negligencia.

SK Telecom conectó sus redes de internet, de gestión e interna en el mismo sistema sin restringir el acceso externo, lo que permitió a los atacantes pasar de internet a la base de datos central de suscriptores.

La empresa almacenó 26,1 millones de claves de autenticación SIM en bases de datos en texto plano sin cifrado, y no aplicó parches de seguridad, incluido uno de 2016 para una vulnerabilidad conocida.

La función del responsable de privacidad se limitaba a los servicios de TI, lo que dejaba toda la infraestructura de telecomunicaciones fuera de la supervisión de privacidad.

Un responsable de privacidad que no puede tocar la red es un título, no una defensa. Las claves SIM en texto plano en una red no segmentada hacen que una multa récord no sea una sorpresa, sino una factura por el mantenimiento aplazado.