Il a été confirmé que le service de vidéo en ligne (OTT) TVING a laissé fuiter vers l’extérieur les informations de 39,54 millions de comptes d’utilisateurs ainsi que 361 projets de développement contenant du code source. Le ministère des Sciences et des TIC (vice-Premier ministre et ministre des Sciences et des TIC, Bae Kyung-hoon) a rendu publics, le 3 septembre, les résultats de l’enquête menée par l’équipe conjointe public-privé sur cet incident de sécurité chez TVING.
 [코리안투데이] Présentation des résultats de l’enquête sur l’incident de sécurité de TVING © 장형임 기자 |
Le ministère des Sciences et des TIC a présenté le 3 septembre les résultats de l’enquête de l’équipe conjointe public-privé (ci-après l’équipe d’enquête) sur l’incident de sécurité de TVING, en dévoilant la cause de l’incident, l’ampleur des dommages et les mesures de prévention.
L’incident a été révélé le 30 mai dernier, lorsqu’une surcharge du système est apparue en raison d’une charge de travail excessive sur le serveur de base de données (BDD) de TVING. En analysant ces signes anormaux, TVING a constaté qu’une personne non autorisée avait accédé sans permission au serveur interne pour consulter les informations des utilisateurs, et a signalé l’incident le 1er juin à l’Agence coréenne pour l’Internet et la sécurité (directeur Lee Sang-jung, KISA). Le ministère a entamé une enquête sur le terrain le 2 juin avec la KISA, puis a constitué l’équipe conjointe public-privé le 3 juin, après délibération du comité d’examen des incidents de sécurité.
L’équipe d’enquête a défini son champ d’investigation autour des circonstances du vol de la clé d’accès, du parcours d’intrusion de l’attaquant, de l’ampleur de la fuite d’informations et du système global de gestion de la protection de l’information à l’échelle de l’entreprise. À cette fin, elle a procédé à l’analyse forensique de 9 terminaux de développeurs (8 ordinateurs portables et 1 PC) et a analysé de manière croisée les équipements de sécurité, les BDD et les journaux système. Les données examinées représentent environ 3,5 To de BDD conservées de mars 2011 à mai 2026 et environ 5 To de journaux d’équipements de sécurité.
Les dommages sont survenus à la fois sur les actifs techniques et sur les informations des utilisateurs. Concernant les actifs techniques, 361 projets de développement contenant du code source (30,35 Go) ont fuité. Ceux-ci comprenaient des technologies clés nécessaires à l’exploitation de TVING : algorithmes de recommandation et de recherche de contenus personnalisés, système de gestion et d’authentification des utilisateurs, gestion des paiements, exploitation des services payants, etc. L’équipe d’enquête a estimé que l’attaquant pourrait les analyser pour repérer des vulnérabilités et les exploiter lors d’une attaque secondaire, mais aucun indice d’attaque supplémentaire n’a été confirmé à ce jour.
L’ampleur de la fuite des informations d’utilisateurs a été plus importante encore. Au total, 39,54 millions de comptes ont fuité, doublons compris : 22,06 millions de comptes actifs permettant la connexion, 17,37 millions de comptes désactivés (dont 8,5 millions dormants et 8,87 millions résiliés) et 110 000 comptes de test. TVING étant structuré de façon à ce qu’une même personne puisse posséder plusieurs comptes, un cas d’utilisateur détenant jusqu’à 13 comptes a même été constaté. Par mode d’inscription, on dénombre 7,26 millions d’inscriptions directes, 8,63 millions de membres intégrés CJ ONE et 22,47 millions d’inscriptions simplifiées via réseaux sociaux (Naver, Kakao, Facebook, Apple, etc.).
Les éléments ayant fuité portent sur 20 catégories (70 types) : identifiant, mot de passe chiffré de manière unidirectionnelle, nom, numéro de téléphone portable, adresse e-mail, date de naissance, information de liaison (CI), etc. Les mots de passe, chiffrés de façon unidirectionnelle, ne peuvent être déchiffrés en clair, mais les numéros de téléphone et adresses e-mail, même partiellement chiffrés, ont été exposés au même niveau que du texte en clair car la clé de chiffrement a fuité en même temps. Les 19,04 millions de comptes détenant un CI, généré lors du processus de vérification d’identité, ont en moyenne 11,1 éléments qui ont fuité, tandis que les 20,4 millions de comptes sans CI en ont en moyenne 4,6. Toutefois, une part importante des comptes sans CI comportait des données inexactes ou manquantes concernant le nom ou les coordonnées. L’ampleur précise de la fuite de données personnelles sera fixée par la Commission de protection des renseignements personnels après une analyse détaillée.
L’incident a pour origine le vol d’une clé d’accès détenue par un développeur. L’attaquant a préalablement dérobé la ‘clé d’accès à l’environnement de développement’ du développeur pour accéder sans autorisation à cet environnement, puis a exfiltré la totalité des 361 projets de développement. Il a ensuite exploité 2 des 43 ‘clés d’accès à l’environnement de production’ qui étaient codées en dur dans le code source ou laissées en clair, pour pénétrer dans l’environnement de production basé sur le cloud (AWS). Lors de la première tentative de fuite, le 30 mai, le taux d’utilisation du processeur du serveur de BDD était monté à 100 %, déclenchant une alerte de signe anormal qui a permis un blocage ; mais lors de la seconde tentative, le 31 mai, l’attaquant a limité le taux d’occupation du processeur à moins de 10 %, créé un serveur virtuel pour exfiltrer 24 Go d’informations d’utilisateurs vers l’extérieur, puis effacé ses traces.
L’équipe d’enquête a relevé des problèmes structurels dans l’ensemble du système de gestion de la protection de l’information de TVING. Les clés d’accès étaient exposées telles quelles dans le code source ou partagées sans discernement via la messagerie interne, et tous les développeurs disposaient d’un droit d’accès à l’intégralité des projets, si bien que le vol d’une seule clé suffisait à compromettre l’ensemble. Il n’existait aucun système de détection et de blocage en temps réel des comportements anormaux, et, face à 265 employés et 149 développeurs, le personnel dédié à la protection de l’information ne comptait qu’environ 4 personnes. En particulier, bien qu’un test d’intrusion simulée mené en 2024 ait révélé la vulnérabilité liée au codage en dur des clés d’accès, aucune mesure n’avait été prise, et les journaux de connexion du nouvel équipement de sécurité (VPN) n’étaient conservés que pendant 6 jours.
Cela signifie, du point de vue des utilisateurs, que leurs renseignements personnels peuvent à tout moment donner lieu à des dommages secondaires tels que le smishing ou le hameçonnage vocal, ou faire l’objet d’un commerce illégal sur le dark web. TVING exploite depuis le 3 juin un centre d’appels de conseil dédié aux victimes, et l’équipe d’enquête a renforcé la surveillance en temps réel du dark web et des forums de piratage, en plus d’un avis de sécurité destiné au public. À ce jour, aucun cas de préjudice pour les utilisateurs ni aucun indice de diffusion illégale n’a été confirmé.
TVING n’a pas respecté l’obligation, prévue par la loi sur les réseaux d’information et de communication, de signaler un incident de sécurité dans les 24 heures suivant sa connaissance. L’équipe d’enquête a retenu comme moment de la prise de connaissance le 31 mai à 10 h 10, lorsque la situation a été transmise à l’équipe de sécurité de l’information ; or le signalement effectif n’a eu lieu que le 1er juin à 15 h 08, soit plus de 24 heures plus tard, ce qui expose l’entreprise à une amende administrative pouvant atteindre 30 millions de wons.
Au titre des mesures de prévention, l’équipe d’enquête a préconisé la mise en place d’un système de gestion des clés et des droits d’accès, le renforcement de la détection des comportements anormaux et de la surveillance des consultations massives de données, la constitution d’un personnel et d’un budget suffisants pour la protection de l’information, ainsi que l’établissement d’une politique de conservation des journaux et le renforcement du traitement des vulnérabilités. Le ministère des Sciences et des TIC recevra de TVING un plan de mise en œuvre courant septembre, en vérifiera l’exécution d’octobre à décembre, puis contrôlera la situation à partir de janvier prochain ; les points insuffisants feront l’objet d’un ordre de mise en conformité conformément à la loi sur les réseaux d’information et de communication.
Des mesures gouvernementales complémentaires suivront. La loi révisée sur la protection des renseignements personnels, qui entre en vigueur le 11 de ce mois, permet d’infliger une amende punitive pouvant atteindre 10 % du chiffre d’affaires total en cas de fuite massive répétée ou due à une faute intentionnelle ou lourde. La loi révisée sur les réseaux d’information et de communication, en vigueur à compter du 1er octobre, rend obligatoire le renforcement du personnel et du budget de protection de l’information des entreprises, et institue une base permettant au gouvernement d’engager une enquête même avant tout signalement ainsi qu’une astreinte financière à l’encontre des entreprises exécutant de manière négligente les mesures de prévention.
지역 홍보대사 신청 기자양성과정 신청 코리안투데이 지부장 신청 코리안투데이 인천강화코리안브랜드대상 신청 최고경영인대상 신청 소비자만족도대상 신청
<저작권자 ⓒ 코리안투데이(The Korean Today) 무단전재 및 재배포 금지>
