Para quién es esto: usuarios actuales y antiguos de TVING, el servicio de streaming surcoreano (incluidas las cuentas dadas de baja e inactivas), personas con familia o amigos en Corea, y desarrolladores y operadores que gestionan código fuente y credenciales de la nube. Este artículo se basa en anuncios oficiales del Ministerio de Ciencia y TIC de Corea del Sur (MSIT) y no trata técnicas de ataque.
Qué deben hacer los usuarios ahora
Considere que las cuentas dadas de baja e inactivas están incluidas
El MSIT indica que las cuentas filtradas incluyen no solo unos 22,06 millones de cuentas activas, sino también unos 8,5 millones inactivas y 8,87 millones dadas de baja. Están incluidas todas las vías de registro: el registro propio de TVING, la membresía integrada de CJ ONE y los inicios de sesión sociales como Naver y Kakao.
Si «lo usó brevemente hace años» o «ya eliminó la cuenta», siga estos pasos de todos modos.
No pulse enlaces en mensajes sobre compensaciones, reembolsos o comprobación de su exposición
En un aviso público de seguridad del 3 de junio, el MSIT y la Agencia Coreana de Internet y Seguridad (KISA) advirtieron sobre tres cosas:
- Smishing (phishing por mensaje de texto) con frases como «compensación por daños», «compruebe si se vio afectado», «reembolso» y «actualización urgente de la aplicación» para inducir a hacer clic en enlaces o instalar aplicaciones
- Phishing de voz (llamadas fraudulentas) haciéndose pasar por orientación sobre compensaciones
- Sitios de phishing colocados en resultados de búsqueda o anuncios
Consulte la compensación o su exposición solo en la aplicación de TVING que ya tiene, o en el sitio web de TVING que escriba usted mismo. El aviso también señala que las agencias gubernamentales y las entidades financieras nunca le piden instalar por teléfono o mensaje una aplicación de control remoto (conceptos básicos: qué es el phishing).
Cambie las contraseñas en todos los lugares donde las reutilizó
El equipo de investigación confirmó que las contraseñas se filtraron en forma cifrada de manera unidireccional y que no pueden descifrarse. Aun así, si usa el mismo ID y contraseña en otro lugar, corrija primero esos casos. Cambie también su contraseña de TVING y, si inició sesión con Naver, Kakao u otro inicio de sesión social, active allí la verificación en dos pasos.
La forma práctica de tener una contraseña única para cada servicio es un gestor de contraseñas; para elegir un segundo factor, consulte cómo elegir la autenticación multifactor.
Si vive en Corea, active las alertas de robo de identidad
La CI, la DI, la fecha de nacimiento y el número de móvil no pueden cambiarse. M-Safer (msafer.or.kr), el servicio de prevención del robo de identidad gestionado por la Comisión de Comunicaciones de Corea y la Asociación Coreana para la Promoción de las TIC (KAIT), envía una alerta cuando se abre una línea móvil o un servicio similar a su nombre, y permite bloquear por completo las nuevas suscripciones móviles a su nombre.
Como las imágenes de documentos de identidad no formaron parte de esta filtración, no es obligatorio, pero si le preocupa, registrarse como persona cuya información personal quedó expuesta en el portal FINE del Servicio de Supervisión Financiera (fine.fss.or.kr) es otra opción (puede hacer que las verificaciones de identidad en sus propias operaciones financieras sean más estrictas).
Si ya pulsó un enlace o instaló una aplicación
El aviso del MSIT indica que, si instaló una aplicación desde un enlace, analice el teléfono con una aplicación antivirus móvil; si encuentra una aplicación maliciosa, active el modo avión y denuncie ante la policía (112) desde el teléfono de otra persona.
Revise su historial de micropagos móviles con su operador y solicite el servicio gratuito del operador de bloqueo de SMS por robo de número para que su número no se use para enviar más smishing. Para saber cómo revisar su teléfono, consulte conceptos básicos de seguridad en el smartphone.
Solicite la compensación solo dentro de la aplicación oficial, con sesión iniciada
TVING está aceptando solicitudes de compensación de los miembros afectados. Según informes de los medios, debe iniciar sesión y usar la página de compensación en el menú «MY» para comprobar si cumple los requisitos y presentar la solicitud, y el plazo de solicitud se amplió hasta el 30 de octubre de 2026.
Las fechas y las opciones pueden cambiar, así que consulte los avisos directamente en la aplicación de TVING. Considere que cualquier «enlace de compensación» que llegue por mensaje de texto o de mensajería no tiene relación con este proceso.
Qué pasó (según la investigación del MSIT)
Lo siguiente procede del anuncio del MSIT del 3 de junio por el que se inició la investigación y de sus resultados de la investigación del 3 de septiembre.
30 de mayo de 2026
Un servidor de base de datos de TVING se sobrecargó por una carga de trabajo excesiva. Al analizar la anomalía, TVING detectó que una parte no autorizada había accedido a servidores internos y consultado datos de usuarios.1 de junio
TVING notificó el incidente a KISA. El MSIT y KISA solicitaron la conservación de las pruebas.2 de junio
El MSIT y KISA iniciaron una investigación in situ.3 de junio
Tras la revisión del comité de investigación del incidente, se formó un equipo conjunto público-privado de investigación, y se emitió una advertencia pública sobre smishing. Desde ese día TVING habilitó un centro de llamadas específico para los usuarios afectados y anunció la filtración en su sitio web y en su aplicación.3 de septiembre
El MSIT publicó los resultados de la investigación: se filtraron 39,54 millones de cuentas (incluidos duplicados) y 361 proyectos de desarrollo. La cifra por personas la anunciará la Comisión de Protección de Información Personal.
- Cuentas
- 22.063.021 activas, 8.502.679 inactivas, 8.868.174 dadas de baja, 106.823 de prueba. 39.540.697 en total, incluidos duplicados. Una persona tenía hasta 13 cuentas
- Datos
- ID, contraseña (cifrada de forma unidireccional), ID integrado de CJ ONE, nombre, número de móvil (últimos 4 dígitos cifrados), correo electrónico (parte local cifrada), fecha de nacimiento, sexo, información de conexión (CI), información de registro duplicado (DI), nombre de perfil, PIN de bloqueo de perfil (cifrado), número de cuenta de reembolso (cifrado), dirección IP, datos de transacciones de la tienda de aplicaciones, datos de servicios de socios, importes e historial de reembolsos, cupones de TVING, saldo en efectivo y pagos, e historial de pagos
- Cifrado en la práctica
- Los números de móvil y las direcciones de correo electrónico estaban parcialmente cifrados, pero la clave de cifrado también se filtró, por lo que se consideraron equivalentes a filtraciones en texto plano
- Contraseñas
- Cifradas de forma unidireccional; confirmado que no pueden descifrarse a texto plano
- Por tipo de cuenta
- Las cuentas con CI perdieron de media 11,1 datos; las cuentas sin CI, 4,6
- Daño secundario
- En el momento del anuncio, no se había confirmado ningún daño a usuarios ni se había detectado comercio en la dark web. El equipo consideró que el smishing, el phishing de voz y otros daños secundarios son posibles
- Activos técnicos
- Proyectos de desarrollo que contienen código fuente: 361 proyectos (30,35 GB) filtrados
Por qué el mensaje de «compensación» es el mayor riesgo
Reemplazable
- Contraseña (no descifrable en este caso; basta con dejar de reutilizarla)
- Correo electrónico (un engorro, pero puede cambiarse)
- Cuenta bancaria de reembolso (filtrada cifrada; consulte a su banco si le preocupa)
No reemplazable por usted
- Nombre, fecha de nacimiento, sexo
- Información de conexión (CI) e información de registro duplicado (DI)
- Número de móvil (cambiable, pero está vinculado a todo)
El MSIT describe la CI como un valor único que identifica a una persona en lugar del número de registro de residente. A diferencia de una contraseña, no puede reemitirse tras una filtración. Un mensaje de alguien que conoce su nombre, fecha de nacimiento, número de teléfono y el hecho de que fue miembro de TVING es mucho más fácil de creer que el spam genérico de un número desconocido.
Hay otra condición que lo empeora. TVING sí ofrece compensación, así que para un miembro, «solicite su compensación» parece el mensaje que estaba esperando. El mejor momento para un estafador es el periodo en que el proceso real y el mensaje falso usan las mismas palabras.
Por eso, en lugar de juzgar cada mensaje según si parece sospechoso, este sitio recomienda una regla sencilla: ignore todos los mensajes relacionados con compensaciones y abra la aplicación usted mismo para comprobarlo. Una regla que no requiere juicio en el momento es más fácil de seguir.
Para desarrolladores y operadores: hasta dónde podía llegar una sola clave de acceso
El equipo de investigación dividió la filtración en cinco etapas. La figura siguiente reorganiza esa ruta en torno a las etapas en las que el daño podría haberse detenido.
1. Clave del entorno de desarrollo de un desarrollador
Cómo se robó: no confirmado
↓→
Restricciones de dispositivo / red, MFA
2. Los 361 proyectos de desarrollo
Cada desarrollador podía acceder a todos los proyectos
↓→
Acceso solo a los repositorios de su equipo (mínimo privilegio)
3. 43 claves de producción dentro del código
41 codificadas en el código, 3 en configuración de entorno en texto plano (1 duplicada)
↓→
Escaneo de secretos antes de confirmar cambios, claves en un almacén de secretos
4. Producción en la nube → credenciales de BD en texto plano
↓→
Reducir los permisos de cada clave, proteger las credenciales de BD
5. Exportación masiva de la base de datos de usuarios
Sin detección más allá de una alerta de carga de CPU
↓→
Alertas por lecturas masivas y volumen de salida
El hallazgo más importante es hasta qué punto podía acceder una sola clave. El equipo de investigación afirmó que TVING dio a cada desarrollador acceso a todos los proyectos de desarrollo, por lo que una clave del entorno de desarrollo llegaba a los 361 proyectos, y que ese código fuente contenía claves del entorno de producción.
El equipo también comprobó que:
- la detección de anomalías dependía de una monitorización sencilla, como la carga de CPU
- un hallazgo de clave codificada en el código de una prueba de penetración de 2024 no se había corregido
- los registros de acceso VPN se conservaban solo unos seis días
El MSIT afirmó que planea imponer una multa administrativa con arreglo a la Ley de Redes porque TVING notificó el incidente más de 24 horas después de tener conocimiento de él.
Analice todos los repositorios en busca de secretos (una vez, esta semana)
El equipo señaló como problemas «codificado en el código fuente» y «almacenado en texto plano en la configuración del entorno». Primero, analice sus repositorios actuales y todo su historial de commits con una herramienta de detección de secretos, y revoque y vuelva a emitir cualquier clave que encuentre, en lugar de limitarse a borrarla (una clave que queda en el historial sigue funcionando aunque elimine el archivo).
Después, añada algo que bloquee los secretos antes de que se confirmen; consulte cómo detectar secretos antes del commit con gitleaks.
Limite el alcance de la clave de un desarrollador a los repositorios de su equipo
Dar a todos acceso a todos los repositorios es cómodo, pero una clave filtrada expone entonces todos los repositorios. Divida el acceso a los repositorios por equipo y restrinja los repositorios que manejan claves de producción a un grupo aún más reducido. Los modelos de permisos de Git autoalojado y GitHub se comparan en Git autoalojado frente a la seguridad de GitHub.
Añada una alerta basada en cuántos datos salen, no en la carga de CPU
Según la investigación, el primer intento de extracción fue detectado por una alerta de pico de CPU de la base de datos, pero esa alerta no se activó durante la segunda filtración a gran escala. Las métricas de carga detectan problemas de rendimiento, no robos de datos.
Haga que su primera alerta se active cuando ocurra cualquiera de estas situaciones:
- una cuenta de base de datos lee de golpe muchas más filas de lo habitual
- un servidor o una clave recién creados envían grandes cantidades de datos hacia fuera
Crear alertas sobre eventos de creación de recursos en el registro de auditoría de la nube es un buen punto de partida.
Opinión de este sitio: el daño podría haberse limitado sin saber cómo se robó la clave
El equipo de investigación no pudo determinar cómo se robó la clave del entorno de desarrollo. El análisis de incidentes tiende a obsesionarse con «cómo entraron», pero la lección aquí trata de hasta dónde se extendió el daño después de que entraran: el equipo consideró que, con una gestión adecuada de las claves, el atacante no habría llegado al entorno de producción. Dicho de otro modo, aunque no se conozca el punto de entrada, limitar lo que puede acceder una sola clave reduce el daño.
En Japón, ese mismo año, la mayoría de las filtraciones divulgadas también se produjeron mediante credenciales legítimas y no por vulnerabilidades de software (las filtraciones de 2026 funcionaron con credenciales legítimas). Un caso japonés en el que una credencial de GitHub condujo a la nube de una empresa se trata en la filtración de CAMPFIRE.
Fuentes (registro público)
Los hechos de este artículo se basan en las fuentes públicas siguientes. No especulamos sobre métodos o causas no revelados.
- Comunicado del Ministerio de Ciencia y TIC, «Resultados de la investigación de la filtración de TVING» (3 de septiembre de 2026; en coreano) — msit.go.kr
- Comunicado del Ministerio de Ciencia y TIC, «El MSIT inicia una investigación sobre la filtración de TVING» (3 de junio de 2026; con anexo: aviso público de seguridad para prevenir daños secundarios; en coreano) — msit.go.kr
- Informe sobre el aviso de TVING del 3 de junio — Byline Network (en coreano)
- Informe de unos 19,53 millones de personas, basado en material presentado a la Asamblea Nacional en junio — Asia Economy
- Informe sobre la ampliación del plazo de compensación (29 de septiembre de 2026) — Nocut News (en coreano)
- Prevención del robo de identidad — M-Safer (msafer.or.kr) / Servicio de Supervisión Financiera — FINE (fine.fss.or.kr) / KISA — Boho Nara (boho.or.kr)
Historial de actualizaciones
2026-09-30: Primera publicación, basada en el anuncio del MSIT del 3 de junio que inició la investigación y en sus resultados del 3 de septiembre. Actualizaremos cuando la Comisión de Protección de Información Personal anuncie la cifra por personas.
Lectura recomendada
- Corea: cuatro filtraciones en bancos (octubre de 2026)
- Otro caso coreano de este año: la filtración de CHAEVI (aplicación de carga de vehículos eléctricos)
- Estafas por suplantación: qué es el phishing / conceptos básicos de seguridad en el smartphone
- Contraseñas: cómo elegir un gestor de contraseñas / cómo elegir la autenticación multifactor
- Desarrolladores: cómo detectar secretos antes del commit con gitleaks / la filtración de GitHub de CAMPFIRE
- Otros incidentes de 2026: filtraciones de datos y ciberataques en 2026