Weverse confirme une fuite concernant 422 584 comptes

Une fuite confirmée après un signalement externe

Le 7 septembre, l'agence de presse Yonhap a rapporté que Weverse Company avait confirmé la fuite de 422 584 enregistrements, comptés à partir des identifiants de comptes. L'information ne provient donc pas d'une revendication de pirate : elle reprend un avis signé par Yang Joo-il, dirigeant de Weverse Company, publié dans la nuit du 6 septembre.

Selon cet avis, l'entreprise a été alertée le 3 septembre par l'Agence coréenne de sécurité de l'Internet, la KISA. Cette dernière avait reçu le signalement d'une personne extérieure au sujet d'une vulnérabilité du service. Weverse dit avoir lancé un contrôle et une réponse d'urgence, puis avoir constaté qu'une partie des informations de ses clients avait été exposée.

La société qualifie l'accès de « non normal » et dit avoir demandé la récupération des informations à l'acteur externe concerné. Elle annonce également vouloir engager sa responsabilité juridique. Ces déclarations confirment l'incident, mais ne décrivent pas le chemin technique emprunté pour accéder aux données.

Ce que Weverse dit avoir exposé

Le principal élément cité est un identifiant interne créé lors de l'inscription pour reconnaître un utilisateur dans les systèmes de Weverse. L'entreprise affirme qu'il ne s'agit ni d'un nom ni d'une coordonnée permettant d'identifier directement une personne hors de ses propres systèmes.

Les sources consultées mentionnent aussi des données liées aux achats : type de moyen de paiement, nom du prestataire de paiement, devise, montants et dates d'achat, annulations, remboursements et état des opérations. Ces éléments peuvent décrire une activité d'achat, même s'ils ne sont pas présentés par l'entreprise comme des données directement identifiantes.

Weverse affirme que ces informations, prises seules, ne permettent pas de fabriquer un paiement ni de réaliser un virement frauduleux. Cette appréciation est celle de l'entreprise. Elle ne signifie pas que tous les risques disparaissent : des métadonnées d'achat peuvent notamment aider à rendre un message frauduleux plus crédible si elles étaient recoupées avec d'autres informations obtenues ailleurs.

Pas de noms ni de coordonnées selon l'entreprise

Dans son explication reprise par Yonhap et SBS Entertainment News, Weverse Company distingue explicitement les identifiants internes des informations directement identifiantes. Elle affirme que les noms et les coordonnées de contact ne sont pas inclus dans les données citées. Les sources lues ne signalent pas non plus l'exposition de numéros complets de cartes bancaires, de mots de passe ou de pièces d'identité.

C'est une distinction importante. Une fuite d'adresses électroniques ou de numéros de téléphone prépare facilement de faux courriels et de faux appels très ciblés. Ici, les éléments confirmés ne permettent pas d'affirmer qu'un utilisateur va recevoir ce type de sollicitation à cause de cet incident précis. Il serait donc trompeur de recommander un changement de mot de passe ou d'annoncer une vague de phishing comme conséquence établie de cette fuite.

Les mesures annoncées par Weverse

L'entreprise déclare avoir renforcé le contrôle d'accès aux interfaces de programmation utilisées pour le traitement des paiements et avoir retiré les identifiants internes concernés de ces interfaces. Elle indique aussi avoir déposé le 4 septembre une déclaration d'incident auprès de la KISA, avec le résultat de ses vérifications et les premières mesures prises.

Pour la suite, Weverse annonce un examen complet des interfaces accessibles depuis l'extérieur, un durcissement des contrôles d'accès, une réduction des informations exposées et un renforcement de la surveillance de sécurité. Elle dit avoir engagé une procédure de notification séparée pour les personnes concernées, conformément aux règles applicables.

Pour les utilisateurs, le bon réflexe est d'abord de vérifier les messages authentiques reçus dans l'application ou sur les canaux officiels de Weverse. Ne communiquez jamais un code reçu par SMS ou par application à une personne qui vous contacte en se présentant comme le support. Ce conseil est une précaution générale contre l'usurpation de support, et non la conséquence d'une fuite de numéro de téléphone confirmée dans ce dossier.

Ce que nous ne pouvons pas vérifier

Les communications citées ne précisent ni la vulnérabilité exploitée, ni la date exacte à laquelle les données ont été consultées, ni la durée de l'accès. Elles ne permettent pas non plus de savoir si l'ensemble des 422 584 enregistrements correspond à autant de personnes distinctes, le chiffre étant exprimé par identifiant de compte.

Nous ne pouvons pas vérifier de manière indépendante la liste complète des champs accessibles ni l'affirmation selon laquelle les données ne peuvent pas être utilisées hors des systèmes de Weverse. Enfin, aucune information lue ne permet d'établir combien d'utilisateurs français sont concernés.

Sources : Yonhap News Agency ↗ · SBS Entertainment News ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.