Tving : près de 40 millions de comptes compromis en Corée du Sud
La plateforme sud-coréenne de streaming Tving a fait l'objet d'une enquête gouvernementale après un piratage signalé en juin. Le 3 septembre, le ministère sud-coréen des Sciences et des TIC a annoncé que 39,54 millions de comptes et 361 actifs techniques, dont du code source, avaient été compromis. Le chiffre compte aussi des comptes multiples détenus par une même personne.
Une clé de développeur volée a ouvert l'accès
L'élément le plus important de l'enquête n'est pas une faiblesse du mot de passe des abonnés. Selon les autorités sud-coréennes, un auteur non identifié a dérobé une clé d'accès appartenant à un développeur, puis s'en est servi pour pénétrer les systèmes internes de Tving. Une clé de ce type est un secret technique utilisé par un logiciel ou un administrateur pour prouver qu'il est autorisé à accéder à un service. Lorsqu'elle est volée, elle peut permettre d'entrer sans devoir deviner les identifiants d'un client.
L'enquête a relevé 361 actifs techniques compromis, dont du code source. Cette information confirme que l'incident ne se limitait pas à une consultation isolée de fiches clients. Elle ne permet pas, à elle seule, de connaître le détail de chaque système atteint ni l'usage qui a été fait du code source.
39,54 millions de comptes, mais pas autant de personnes distinctes
Le ministère évoque 39,54 millions de comptes compromis. Il précise toutefois que ce total peut inclure plusieurs comptes appartenant à une même personne. Il ne faut donc pas le présenter comme 39,54 millions de victimes individuelles. Parmi ces comptes, 22,06 millions étaient encore actifs et pouvaient servir à se connecter. Les autres étaient inactifs, dormants ou fermés.
Les comptes avaient été créés par plusieurs voies : directement chez Tving, via le programme intégré CJ ONE, ou par des connexions sociales, notamment Naver, Kakao, Facebook, Apple et X. Ce détail explique pourquoi l'impact ne dit pas automatiquement qu'un même jeu de données a été exposé de façon identique pour chaque compte.
Des données personnelles variées selon le mode d'inscription
L'enquête cite 20 catégories et 70 types de données. Les éléments mentionnés publiquement comprennent les noms, dates de naissance, numéros de téléphone, adresses e-mail et informations de connexion. L'étendue exacte varie selon la manière dont le compte avait été créé. Les autorités n'indiquent donc pas que chaque compte contenait l'intégralité de cette liste.
Le risque concret mis en avant est celui des attaques secondaires. Un nom associé à une adresse e-mail et à un numéro de téléphone peut rendre un faux message ou un faux appel plus crédible. Le ministère évoque explicitement le smishing, c'est-à-dire les SMS frauduleux, et le vishing, les appels où un escroc se fait passer pour un interlocuteur légitime.
Un signalement intervenu après le délai annoncé
Les enquêteurs situent la détection de l'incident au 30 mai. Tving l'a signalé à l'agence coréenne de sécurité d'Internet le 1er juin. Selon Yonhap, les autorités considèrent que ce signalement n'a pas été fait dans les vingt-quatre heures prévues et qu'une sanction financière est possible. L'annonce du 3 septembre s'appuie sur trois mois d'enquête conjointe entre les pouvoirs publics et des acteurs civils.
Les autorités indiquent qu'aucun signe d'attaque supplémentaire n'avait été détecté au moment de l'annonce. Tving a présenté des excuses, annoncé des mesures de sécurité d'urgence et promis d'augmenter ses investissements de cybersécurité sur cinq ans. Une enquête policière se poursuit pour identifier l'auteur et son pays d'origine.
Le réflexe utile : se méfier des messages qui connaissent déjà votre nom
Pour un utilisateur Tving, le conseil utile découle des données citées, pas d'une hypothèse sur les mots de passe. Ne cliquez pas sur un lien reçu par SMS ou par e-mail sous prétexte d'une indemnisation, d'une vérification de compte ou d'un renouvellement d'abonnement. Ouvrez vous-même l'application ou le site que vous utilisez habituellement. Un fraudeur peut disposer de suffisamment d'informations pour rendre son message convaincant sans pour autant connaître votre mot de passe.
La même prudence vaut pour un appel prétendant venir du service client. Ne donnez pas de code reçu par SMS et ne communiquez pas d'information complémentaire à l'appelant. Raccrochez, puis utilisez le canal officiel que vous connaissez déjà si vous devez vérifier une demande.
Ce que nous ne pouvons pas vérifier
Nous n'avons pas accès à la liste des comptes concernés ni au détail des 70 types de données évoqués par l'enquête. Nous ne pouvons pas déterminer quelle catégorie de données concernait un compte précis, ni si des informations ont été diffusées ou utilisées après leur exfiltration.
L'auteur du piratage n'est pas identifié publiquement, son origine n'est pas établie et l'enquête policière est toujours en cours. Nous ne savons pas non plus combien de personnes distinctes se trouvent derrière les 39,54 millions de comptes, puisque le ministère indique que ce total inclut des comptes multiples.
Le déroulé
- 30 mai 2026 · Les enquêteurs situent à cette date la détection de l'incident par Tving.
- 1er juin 2026 · Tving signale le piratage à l'agence coréenne de sécurité d'Internet, selon l'enquête.
- 3 septembre 2026 · Le ministère sud-coréen annonce les résultats de trois mois d'enquête conjointe.
Ce qu'il faut faire
- N'utilisez pas les liens reçus dans un message d'alerte. Ouvrez vous-même l'application ou le site officiel afin d'éviter les faux avis d'indemnisation ou de vérification.
- Ne donnez aucun code à un appelant. Un numéro de téléphone et votre nom peuvent rendre un faux conseiller crédible, mais ils ne prouvent pas son identité.
Sources : Yonhap ↗
Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.