SK Telecom é multada em recorde de 134,8 bilhões de won por vazamento de dados de SIM que afetou 23 milhões de usuários

A SK Telecom, maior operadora de telecomunicações da Coreia do Sul, com 23 milhões de assinantes, foi atingida por uma multa recorde de 134,8 bilhões de won (US$ 97,2 milhões) por violação de privacidade em 28 de agosto de 2025. A Comissão de Proteção de Informações Pessoais (PIPC) classificou-a como a maior penalidade já imposta sob a Lei de Proteção de Informações Pessoais, citando "falhas básicas de segurança e gestão deficiente".

A violação começou já em 2021, com os atacantes permanecendo indetectados dentro da rede da SK Telecom por quatro anos. Quando o ataque foi divulgado em abril de 2025, veio à tona que os atacantes acessaram 25 categorias de dados pessoais de assinantes de LTE e 5G, incluindo números de telefone, números de Identidade Internacional de Assinante Móvel (IMSI), identificadores de dispositivo (IMEI) e chaves de autenticação USIM.

A investigação da PIPC constatou que a SK Telecom havia vinculado suas redes de internet, de gestão e interna no mesmo sistema sem restringir o acesso externo. Servidores de gestão estavam conectados desnecessariamente ao Servidor de Assinantes Doméstico (HSS), onde ocorreu a violação. A empresa não criptografou 26,1 milhões de chaves de autenticação de SIM, armazenando-as em bancos de dados de texto simples. Ignorou registros de detecção de intrusão e não aplicou correções de segurança disponíveis, incluindo uma de 2016. O papel do encarregado de privacidade estava limitado a serviços de TI, deixando a infraestrutura de telecomunicações fora da supervisão.

A violação forçou a SK Telecom a lançar um programa gratuito de substituição de cartões USIM para todos os 23 milhões de assinantes, causando escassez temporária de cartões SIM em todo o país e provocando uma investigação governamental. A multa recorde causou choque na indústria de telecomunicações da Coreia do Sul, que nunca havia enfrentado uma penalidade de privacidade dessa magnitude.

Chaves de SIM armazenadas sem criptografia e correções ignoradas, então os atacantes circularam por quatro anos; a multa recorde de 134,8 bilhões de won foi a conta dessa negligência.

A SK Telecom vinculou suas redes de internet, de gestão e interna no mesmo sistema sem restringir o acesso externo, permitindo que os atacantes passassem da internet para o banco de dados central de assinantes

A empresa armazenou 26,1 milhões de chaves de autenticação de SIM em bancos de dados de texto simples sem criptografia, e não aplicou correções de segurança, incluindo uma de 2016 para uma vulnerabilidade conhecida

O papel do encarregado de privacidade estava limitado a serviços de TI, deixando toda a infraestrutura de telecomunicações fora da supervisão de privacidade

Um encarregado de privacidade que não pode tocar na rede é um cargo, não uma defesa. Chaves de SIM em texto simples em uma rede não segmentada tornam uma multa recorde não uma surpresa, mas uma fatura por manutenção adiada.