Público-alvo: usuários atuais e antigos da TVING, o serviço de streaming sul-coreano (incluindo contas canceladas e inativas), pessoas com família ou amigos na Coreia e desenvolvedores e operadores que lidam com código-fonte e credenciais de nuvem. Este artigo se baseia em comunicados oficiais do Ministério da Ciência e TIC da Coreia do Sul (MSIT) e não aborda técnicas de ataque.
O que os usuários devem fazer agora
Presuma que contas canceladas e inativas estão incluídas
O MSIT diz que as contas vazadas incluem não apenas cerca de 22,06 milhões de contas ativas, mas também cerca de 8,5 milhões inativas e 8,87 milhões canceladas. Todas as formas de cadastro estão incluídas: o registro próprio da TVING, a associação integrada da CJ ONE e logins sociais como Naver e Kakao.
Se você "usou por pouco tempo anos atrás" ou "já excluiu a conta", siga estes passos mesmo assim.
Não toque em links em mensagens sobre compensação, reembolsos ou verificação de exposição
Em um aviso público de segurança de 3 de junho, o MSIT e a Korea Internet & Security Agency (KISA) alertaram sobre três coisas:
- Smishing (phishing por mensagem de texto) usando frases como "compensação por danos", "verifique se você foi afetado", "reembolso" e "atualização urgente do aplicativo" para induzir cliques em links ou instalações de aplicativos
- Voice phishing (ligações de golpe) se passando por orientação de compensação
- Sites de phishing em resultados de busca ou anúncios
Verifique compensação ou exposição somente no aplicativo da TVING que você já tem, ou no site da TVING que você digita manualmente. O aviso também afirma que órgãos governamentais e instituições financeiras nunca pedem que você instale um aplicativo de controle remoto por telefone ou mensagem (básico: o que é phishing).
Troque as senhas onde você as reutilizou
A equipe de investigação confirmou que as senhas vazaram em forma criptografada de maneira unidirecional e não podem ser descriptografadas. Ainda assim, se você usa o mesmo ID e senha em outros lugares, corrija-os primeiro. Troque também a senha da TVING e, se entrou com Naver, Kakao ou outro login social, ative a verificação em duas etapas por lá.
A forma prática de manter cada senha única é um gerenciador de senhas; para escolher um segundo fator, veja como escolher a autenticação multifator.
Se você mora na Coreia, ative alertas de roubo de identidade
CI, DI, data de nascimento e número de celular não podem ser alterados. O M-Safer (msafer.or.kr), o serviço de prevenção de roubo de identidade operado pela Korea Communications Commission e pela Korea Association for ICT Promotion (KAIT), envia um alerta quando uma linha de celular ou serviço semelhante é aberta em seu nome e permite bloquear novas assinaturas de celular em seu nome.
Como imagens de documentos de identidade não fizeram parte deste incidente, isso não é obrigatório, mas se você está preocupado, cadastrar-se como pessoa cujas informações pessoais foram expostas no portal FINE do Financial Supervisory Service (fine.fss.or.kr) é outra opção (pode tornar mais rigorosas as verificações de identidade nas suas próprias transações financeiras).
Se você já tocou em um link ou instalou um aplicativo
O aviso do MSIT diz que, se você instalou um aplicativo a partir de um link, analise o celular com um aplicativo antivírus para dispositivos móveis; se for encontrado um aplicativo malicioso, ative o modo avião e denuncie à polícia (112) a partir do celular de outra pessoa.
Verifique seu histórico de micropagamentos no celular com a operadora e cadastre-se no serviço gratuito de bloqueio de SMS contra roubo de número oferecido pela operadora, para que seu número não seja usado para enviar mais smishing. Para saber como verificar seu celular, veja noções básicas de segurança do smartphone.
Solicite compensação somente dentro do aplicativo oficial, já logado
A TVING está aceitando pedidos de compensação de membros afetados. Segundo reportagens da mídia, você faz login e usa a página de compensação no menu "MY" para verificar a elegibilidade e solicitar, e o prazo de solicitação foi prorrogado até 30 de outubro de 2026.
Datas e opções podem mudar, então verifique os avisos diretamente no aplicativo da TVING. Trate qualquer "link de compensação" recebido por mensagem de texto ou aplicativo de mensagens como não relacionado a este processo.
O que aconteceu (segundo a investigação do MSIT)
O texto a seguir é baseado no comunicado do MSIT de 3 de junho, que deu início à investigação, e nos resultados da investigação de 3 de setembro.
30 de maio de 2026
Um servidor de banco de dados da TVING ficou sobrecarregado por excesso de carga de trabalho. Ao analisar a anomalia, a TVING reconheceu que uma parte não autorizada havia acessado servidores internos e consultado dados de usuários.1º de junho
A TVING comunicou o incidente à KISA. O MSIT e a KISA solicitaram a preservação de evidências.2 de junho
O MSIT e a KISA iniciaram uma investigação no local.3 de junho
Após análise do comitê de investigação do incidente, foi formada uma equipe conjunta público-privada de investigação, e um alerta público de smishing foi emitido. A partir desse dia, a TVING manteve uma central de atendimento dedicada para usuários afetados e anunciou o incidente em seu site e aplicativo.3 de setembro
O MSIT publicou os resultados da investigação: 39,54 milhões de contas (incluindo duplicadas) e 361 projetos de desenvolvimento vazaram. A contagem por pessoa será divulgada pela Comissão de Proteção de Informações Pessoais.
- Contas
- 22.063.021 ativas, 8.502.679 inativas, 8.868.174 canceladas, 106.823 de teste. 39.540.697 no total, incluindo duplicadas. Uma pessoa chegou a ter até 13 contas
- Itens
- ID, senha (criptografada de forma unidirecional), ID integrado da CJ ONE, nome, número de celular (últimos 4 dígitos criptografados), endereço de e-mail (parte local criptografada), data de nascimento, gênero, informações de conexão (CI), informações de registro duplicado (DI), nome do perfil, PIN de bloqueio do perfil (criptografado), número da conta para reembolso (criptografado), endereço IP, dados de transação da loja de aplicativos, dados de serviços de parceiros, valores e histórico de reembolsos, cupons da TVING, saldo em dinheiro e pagamentos, histórico de pagamentos
- Criptografia na prática
- Números de celular e endereços de e-mail estavam parcialmente criptografados, mas a chave de criptografia também vazou, por isso foram considerados equivalentes a vazamentos em texto simples
- Senhas
- Criptografadas de forma unidirecional; confirmado que é impossível descriptografar para texto simples
- Por tipo de conta
- Contas com CI perderam em média 11,1 itens; contas sem CI, 4,6
- Dano secundário
- Até o comunicado, nenhum dano aos usuários havia sido confirmado e não foi detectada comercialização na dark web. A equipe avaliou que smishing, voice phishing e outros danos secundários são possíveis
- Ativos técnicos
- Projetos de desenvolvimento contendo código-fonte: 361 projetos (30,35 GB) vazaram
Por que uma mensagem de "compensação" é o maior risco
Substituível
- Senha (não descriptografável desta vez; basta parar de reutilizá-la)
- Endereço de e-mail (incômodo, mas alterável)
- Conta bancária para reembolso (vazou criptografada; pergunte ao seu banco se estiver preocupado)
Não substituível por você
- Nome, data de nascimento, gênero
- Informações de conexão (CI) e DI
- Número de celular (alterável, mas ligado a tudo)
O MSIT descreve a CI como um valor único que identifica uma pessoa no lugar do número de registro de residente. Diferentemente de uma senha, ela não pode ser reemitida após o vazamento. Uma mensagem de alguém que conhece seu nome, data de nascimento, número de telefone e o fato de você ser membro da TVING é muito mais fácil de acreditar do que um spam genérico de um número desconhecido.
Há mais uma condição que piora a situação. A TVING realmente oferece compensação, então, para um membro, "por favor, solicite sua compensação" parece a mensagem que ele estava esperando. O melhor momento para um golpista é o período em que o processo real e a mensagem falsa usam as mesmas palavras.
Por isso, em vez de julgar cada mensagem pela aparência suspeita, este site recomenda uma regra simples: ignore toda mensagem relacionada a compensação e abra o aplicativo você mesmo para verificar. Uma regra que não exige julgamento no momento é mais fácil de seguir.
Para desenvolvedores e operadores: até onde uma chave de acesso podia chegar
A equipe de investigação dividiu o incidente em cinco etapas. A figura abaixo reorganiza esse caminho em torno das etapas em que o dano poderia ter sido interrompido.
1. Chave do ambiente de desenvolvimento de um desenvolvedor
Como foi roubada: não confirmado
↓→
Restrições de dispositivo / rede, MFA
2. Todos os 361 projetos de desenvolvimento
Todo desenvolvedor podia acessar todos os projetos
↓→
Acesso somente aos repositórios da sua equipe (menor privilégio)
3. 43 chaves de produção dentro do código
41 codificadas no código, 3 em configuração de ambiente em texto simples (1 duplicada)
↓→
Varredura de segredos antes do commit, chaves em um cofre de segredos
4. Nuvem de produção → credenciais do banco em texto simples
↓→
Restringir as permissões de cada chave, proteger as credenciais do banco
5. Exportação em massa do banco de dados de usuários
Nenhuma detecção além de um alerta de carga de CPU
↓→
Alertas para leituras em massa e volume de saída
A constatação mais importante é o quanto uma única chave podia acessar. A equipe de investigação disse que a TVING deu a todos os desenvolvedores acesso a todos os projetos de desenvolvimento, então uma chave do ambiente de desenvolvimento alcançava os 361 projetos, e esse código-fonte continha chaves do ambiente de produção.
A equipe também constatou que:
- a detecção de anomalias dependia de monitoramento simples, como a carga de CPU
- uma constatação de chave codificada no código, feita em um teste de invasão de 2024, não havia sido corrigida
- os registros de acesso à VPN eram mantidos por apenas cerca de seis dias
O MSIT disse que pretende aplicar uma multa administrativa com base na Lei de Redes, porque a TVING comunicou o incidente mais de 24 horas após tomar conhecimento dele.
Analise todos os repositórios em busca de segredos (uma vez, esta semana)
A equipe citou como problemas "codificado no código-fonte" e "armazenado em texto simples na configuração do ambiente". Primeiro, analise seus repositórios atuais e todo o histórico de commits com uma ferramenta de detecção de segredos, e revogue e reemita qualquer item encontrado, em vez de apenas apagá-lo (uma chave que permanece no histórico continua funcionando mesmo depois que o arquivo é excluído).
Depois, adicione algo que bloqueie os segredos antes que sejam enviados por commit; veja como evitar segredos em commits com o gitleaks.
Limite o alcance da chave de um desenvolvedor aos repositórios da sua equipe
Dar a todos acesso a todos os repositórios é conveniente, mas uma chave vazada então expõe todos os repositórios. Separe o acesso aos repositórios por equipe e restrinja os repositórios que lidam com chaves de produção a um grupo ainda menor. Os modelos de permissão de Git autogerenciado e do GitHub são comparados em Git autogerenciado vs segurança do GitHub.
Adicione um alerta baseado na quantidade de dados que saem, não na carga de CPU
Segundo a investigação, a primeira tentativa de exfiltração foi detectada por um alerta de pico de CPU do banco de dados, mas esse alerta não disparou durante o segundo vazamento, em grande escala. Métricas de carga encontram problemas de desempenho, não roubo de dados.
Faça seu primeiro alerta disparar quando qualquer uma destas situações ocorrer:
- uma conta de banco de dados lê muito mais linhas de uma vez do que o normal
- um servidor recém-criado ou uma nova chave envia grandes volumes de dados para fora
Criar alertas para eventos de criação de recursos no log de auditoria da nuvem é um bom ponto de partida.
Visão deste site: o dano poderia ter sido limitado sem saber como a chave foi roubada
A equipe de investigação não conseguiu determinar como a chave do ambiente de desenvolvimento foi roubada. A análise de incidentes tende a se fixar em "como entraram", mas a lição aqui é sobre até onde o dano se espalhou depois que entraram: a equipe avaliou que, com gestão adequada das chaves, o atacante não teria chegado ao ambiente de produção. Em outras palavras, mesmo sem saber o ponto de entrada, restringir o que uma única chave pode acessar reduz o dano.
No Japão, no mesmo ano, a maioria dos incidentes divulgados também ocorreu por meio de credenciais legítimas, e não de vulnerabilidades de software (os vazamentos de 2026 rodaram com credenciais legítimas). Um caso japonês em que uma credencial do GitHub levou à nuvem de uma empresa é tratado em o vazamento da CAMPFIRE.
Fontes (registro público)
Os fatos deste artigo são baseados nas fontes públicas abaixo. Não especulamos sobre métodos ou causas não divulgados.
- Comunicado do Ministério da Ciência e TIC, "Resultados da investigação do vazamento da TVING" (3 de setembro de 2026; em coreano) — msit.go.kr
- Comunicado do Ministério da Ciência e TIC, "MSIT inicia investigação sobre o vazamento da TVING" (3 de junho de 2026; com anexo: aviso público de segurança para prevenir danos secundários; em coreano) — msit.go.kr
- Reportagem sobre o comunicado da TVING de 3 de junho — Byline Network (em coreano)
- Relato de cerca de 19,53 milhões de pessoas, com base em material enviado à Assembleia Nacional em junho — Asia Economy
- Reportagem sobre a prorrogação do prazo de compensação (29 de setembro de 2026) — Nocut News (em coreano)
- Prevenção de roubo de identidade — M-Safer (msafer.or.kr) / Financial Supervisory Service — FINE (fine.fss.or.kr) / KISA — Boho Nara (boho.or.kr)
Histórico de atualizações
2026-09-30: Publicação inicial, com base no comunicado do MSIT de 3 de junho que iniciou a investigação e nos resultados da investigação de 3 de setembro. Atualizaremos quando a Comissão de Proteção de Informações Pessoais divulgar o número por pessoa.
Leia em seguida
- Coreia: quatro vazamentos em bancos (outubro de 2026)
- Outro caso coreano deste ano: o vazamento da CHAEVI (aplicativo de recarga de veículos elétricos)
- Golpes de falsidade ideológica: o que é phishing / noções básicas de segurança do smartphone
- Senhas: como escolher um gerenciador de senhas / como escolher a autenticação multifator
- Desenvolvedores: como evitar segredos em commits com o gitleaks / o vazamento do GitHub da CAMPFIRE
- Outros incidentes de 2026: vazamentos de dados e ciberataques em 2026