Em outubro de 2024, um atacante inseriu um dispositivo aparentemente inocente na rede de uma das maiores operadoras de telecomunicações da Ásia. Onze meses depois, em setembro de 2025, a fraude só foi descoberta porque clientes começaram a reclamar de pagamentos micropagos não autorizados. Quando a Comissão de Proteção de Informações Pessoais (PIPC) da Coreia do Sul investigou, encontrou algo que lembra uma trama de ficção científica: uma femtocell modificada, um certificado de segurança roubado e uma rede de servidores infectados por malware BPFDoor desde março de 2024 — e uma empresa que tentou apagar todas as evidências. A KT Corporation, maior operadora de telecomunicações da Coreia do Sul, foi multada em KRW 53,979 bilhões (cerca de US$ 39 milhões) pela PIPC, uma das maiores penalidades já aplicadas no país por falhas em proteção de dados.

O que diabos é uma femtocell?

Para entender como uma violação desta magnitude pode acontecer, precisamos primeiro "desbugar" um termo que soa técnico mas é mais simples do que parece: femtocell. Imagine que o sinal de celular da sua operadora é como a luz de uma lâmpada no teto — ela ilumina toda a sala, mas com intensidade variada. Nos cantos escuros, onde o sinal é fraco, a operadora pode instalar uma mini-antena chamada femtocell, que funciona como um roteador de celular. Ela se conecta à internet banda larga da sua casa ou escritório e transforma esse sinal em cobertura celular local, criando uma mini-célula de rede (daí o nome "femto", que indica fração minúscula). É uma tecnologia legítima, usada globalmente por operadoras como AT&T, Vodafone e, no caso, a KT, para melhorar cobertura em ambientes internos. O problema? Uma femtocell, por design, tem acesso privilegiado à rede da operadora. Se alguém consegue fabricar uma femtocell falsa e inseri-la na rede, pode, teoricamente, interceptar todo o tráfego de celulares que se conectam a ela.

Como o ataque aconteceu: do certificado roubado ao crime

A investigação da PIPC, detalhada na decisão oficial publicada em 30 de julho de 2026, revelou uma sequência de eventos que parece saída de um roteiro de Mr. Robot. Tudo começou quando atacantes obtiveram um certificado de segurança de uma femtocell legítima da KT — segundo fontes do setor, o dispositivo pode ter sido fisicamente perdido ou roubado. Com esse certificado em mãos, os hackers construíram uma femtocell clandestina, uma versão "pirata" do hardware real, e a conectaram à rede da KT. Como os certificados de femtocell da KT tinham validade de 10 anos e não possuíam restrições de endereço IP — ou seja, qualquer dispositivo em qualquer lugar do mundo poderia se passar por uma femtocell legítima — a intrusão permaneceu completamente invisível por 11 meses, de 8 de outubro de 2024 a 5 de setembro de 2025. Durante esse período, a femtocell pirata interceptou dados de 16.647 assinantes, incluindo números de telefone, IMSI (o identificador único do chip de celular) e IMEI (o identificador único do aparelho). Combinando essas informações com outros dados pessoais obtidos por meios não revelados publicamente, os atacantes conseguiram interceptar códigos de autenticação enviados por SMS e chamadas de voz automatizadas (ARS), autorizando pagamentos micropagos fraudulentos que totalizaram KRW 240 milhões (cerca de US$ 175 mil) contra 368 vítimas.

Uma segunda frente: o malware BPFDoor nos servidores

A violação das femtocells, porém, foi apenas a ponta do iceberg. Uma investigação paralela revelou que, desde março de 2024 — meses antes do ataque via femtocell se iniciar — os servidores da KT já estavam comprometidos. 38 servidores foram infectados por uma variedade de malware, incluindo o BPFDoor, uma ferramenta de backdoor usada por grupos de espionagem cibernética para manter acesso persistente e indetectável a sistemas comprometidos. O BPFDoor é particularmente perigoso porque opera no nível do kernel do sistema operacional, usando filtros BPF (Berkeley Packet Filter) para esconder seu tráfego de rede de ferramentas convencionais de monitoramento — é como um espião que não apenas se disfarça, mas também faz com que suas pegadas desapareçam da areia. A porta de entrada para essa infecção foi uma vulnerabilidade em um site de roaming de aluguel de serviços da KT, explorada através de uma técnica chamada SQL injection — uma falha clássica de segurança em aplicações web que permite a um atacante injetar comandos maliciosos em consultas de banco de dados, extraindo informações diretamente do servidor. Através dessa vulnerabilidade, os atacantes conseguiram acesso a dados de funcionários e parceiros da KT, incluindo nomes, números de telefone e informações de contas.

A reação da KT: encobrimento, apagamento de logs e dados falsos

Se a violação em si já era grave, a resposta da KT transformou o caso em algo muito pior. Quando a PIPC abriu a investigação em 10 de setembro de 2025, após relatos de pagamentos fraudulentos, a KT reportou no dia seguinte que cerca de 5.500 clientes haviam sido afetados — um número que a investigação posterior revelou ser aproximadamente três vezes menor do que o real. A empresa não reportou a infecção por malware nos 38 servidores, optando por tratar o incidente internamente. Mais grave ainda: durante a investigação, a KT apagou logs de servidor que continham evidências cruciais, dificultando significativamente o trabalho dos investigadores da PIPC. A comissão também descobriu que a KT enviou dados falsos e fez declarações falsas durante o processo investigativo, configurando o que a PIPC classificou formalmente como obstrução de investigação. A comissão decidiu então apresentar uma queixa criminal contra a KT por essas ações, e está considerando mudanças legislativas para criar penalidades específicas para empresas que tentem ocultar evidências de violações de dados.

As sanções: muito além do dinheiro

A multa de KRW 53,979 bilhões é apenas uma parte das consequências para a KT. A PIPC ordenou uma série de medidas corretivas obrigatórias que a operadora deve implementar, incluindo inspeções de vulnerabilidade em todas as suas femtocells, implementação de controles de acesso rigorosos, e a clarificação e fortalecimento do papel do Diretor de Proteção de Dados (CPO) dentro da organização — tudo isso dentro de um prazo de 3 meses. A comissão também recomendou a expansão da certificação ISMS-P (Sistema de Gestão de Segurança da Informação e Proteção de Informações Pessoais) para cobrir especificamente as redes móveis da KT, e ordenou a publicação oficial da sanção, garantindo que o caso se tornasse conhecimento público. Além disso, a PIPC chamou atenção para um caso semelhante envolvendo a operadora LG U+, que teria descartado servidores em agosto de 2025 durante uma investigação em andamento, levando a comissão a encaminhar o caso às autoridades policiais para investigação por possível destruição de evidências.

KT se desculpa e anuncia reformas

Em resposta à sanção, a KT emitiu um comunicado em 30 de julho de 2026 no qual aceitou o resultado "com seriedade" e pediu "desculpas profundas" aos clientes e ao público pelo transtorno causado. A operadora anunciou que está "reformulando" seu sistema de proteção de informações pessoais, expandindo investimentos em segurança e fortalecendo suas capacidades para prevenir recorrências e recuperar a confiança. A KT afirmou ainda que iria "revisar a resolução escrita" para determinar sua posição sobre possíveis ações legais contra a decisão — uma linguagem que sugere que a operadora pode contestar pelo menos parte das sanções. Até o momento, segundo a Reuters, oficiais da KT não responderam imediatamente às ligações para comentários adicionais.

"E daí?": O que isso significa para o futuro das telecomunicações

O caso da KT não é apenas mais uma multa corporativa. Ele expõe uma fragilidade estrutural na forma como as operadoras de telecomunicações gerenciam equipamentos de rede distribuídos — e o quão perigosa pode ser a combinação entre hardware legítimo comprometido, certificados de longa validade e resposta a incidentes negligente. Para colocar em perspectiva: imagine que cada femtocell instalada em casas e escritórios ao redor do mundo é como uma porta dos fundos da rede celular. Se os certificados que "trancam" essas portas valem por uma década e não verificam de onde a conexão vem, basta que um atacante consiga uma única chave — como aconteceu com a KT — para ter acesso irrestrito. O malware BPFDoor, que já foi associado a grupos de espionagem ligados à Coreia do Norte em investigações anteriores do setor de cibersegurança, adiciona uma camada geopolítica ao caso, sugerindo que a infraestrutura de telecomunicações da Coreia do Sul continua sendo um alvo de alto valor para atores estatais. A Coreia do Sul, que recentemente anunciou um investimento de US$ 576 bilhões em semicondutores e IA, agora enfrenta o desafio de garantir que sua infraestrutura de telecomunicações — a espinha dorsal de toda essa inovação — esteja à altura das ameaças que a cercam.