Для кого эта статья: для нынешних и бывших пользователей TVING, южнокорейского стримингового сервиса (включая удалённые и спящие аккаунты), людей, у которых есть родственники или друзья в Корее, а также разработчиков и администраторов, которые работают с исходным кодом и облачными учётными данными. Статья основана на официальных объявлениях Министерства науки и ИКТ Южной Кореи (MSIT) и не описывает методы атак.
Что пользователям нужно сделать сейчас
Считайте, что удалённые и спящие аккаунты тоже затронуты
MSIT сообщает, что в утечку попали не только около 22,06 млн активных аккаунтов, но и около 8,5 млн спящих и 8,87 млн удалённых аккаунтов. Затронуты все способы регистрации: собственная регистрация TVING, единое членство CJ ONE и входы через социальные сети, например Naver и Kakao.
Если вы «пользовались недолго несколько лет назад» или «уже удалили аккаунт», всё равно выполните эти шаги.
Не переходите по ссылкам в сообщениях о компенсации, возврате средств или проверке утечки
В публичном уведомлении о безопасности от 3 июня MSIT и Корейское агентство по интернету и безопасности (KISA) предупредили о трёх вещах:
- Смишинг (фишинг через SMS) с фразами «компенсация за ущерб», «проверьте, затронуты ли вы», «возврат средств» и «срочное обновление приложения», которые призывают перейти по ссылке или установить приложение
- Голосовой фишинг (мошеннические звонки), выдаваемые за инструкции по получению компенсации
- Фишинговые сайты, размещённые в результатах поиска или рекламе
Проверяйте компенсацию или возможную утечку только в приложении TVING, которое у вас уже установлено, или на сайте TVING, адрес которого вы вводите сами. В уведомлении также говорится, что государственные органы и финансовые учреждения никогда не просят установить программу удалённого управления по телефону или в сообщении (основы: что такое фишинг).
Смените пароли везде, где вы их повторно использовали
Группа расследования подтвердила, что пароли утекли в необратимо зашифрованном виде и не могут быть расшифрованы. Тем не менее, если вы используете тот же ID и пароль в других местах, сначала исправьте их. Смените и пароль от TVING, а если вы входили через Naver, Kakao или другую социальную сеть, включите там двухэтапную проверку.
Практичный способ использовать уникальный пароль для каждого сервиса — менеджер паролей; выбор второго фактора описан в статье как выбрать многофакторную аутентификацию.
Если вы живёте в Корее, включите оповещения о краже личности
CI, DI, дату рождения и номер мобильного телефона изменить нельзя. M-Safer (msafer.or.kr), сервис защиты от кражи личности, которым управляют Корейская комиссия по коммуникациям и Корейская ассоциация содействия ИКТ (KAIT), отправляет оповещение, когда на ваше имя открывается мобильная линия или аналогичная услуга, и позволяет полностью заблокировать оформление новых мобильных абонентских номеров на ваше имя.
Поскольку изображения удостоверений личности в этой утечке не фигурировали, это не обязательно, но если вы беспокоитесь, можно зарегистрироваться как человек, чьи персональные данные были раскрыты, на портале FINE Службы финансового надзора (fine.fss.or.kr). Это может сделать проверку ваших собственных финансовых операций более строгой.
Если вы уже перешли по ссылке или установили приложение
В уведомлении MSIT сказано: если вы установили приложение по ссылке, проверьте телефон мобильным антивирусом; если найдено вредоносное приложение, включите режим полёта и сообщите в полицию (112) с чужого телефона.
Проверьте историю мобильных платежей у своего оператора и подключите бесплатную услугу оператора по блокировке SMS при краже номера, чтобы ваш номер не использовали для рассылки новых смишинг-сообщений. Как проверить телефон, см. в статье основы безопасности смартфона.
Подавать заявку на компенсацию только в официальном приложении после входа
TVING принимает заявки на компенсацию от затронутых участников. По сообщениям СМИ, нужно войти в аккаунт и использовать страницу компенсации в меню «MY», чтобы проверить право на получение и подать заявку. Срок подачи был продлён до 30 октября 2026 года.
Даты и условия могут меняться, поэтому проверяйте уведомления непосредственно в приложении TVING. Считайте любую «ссылку на компенсацию», пришедшую по SMS или в мессенджере, не относящейся к этому процессу.
Что произошло (по данным расследования MSIT)
Ниже приведены сведения из объявления MSIT от 3 июня о начале расследования и его результатов от 3 сентября.
30 мая 2026
Сервер базы данных TVING был перегружен из-за чрезмерной нагрузки. Анализируя аномалию, TVING установил, что посторонний получил доступ к внутренним серверам и запросил пользовательские данные.1 июня
TVING сообщил об инциденте в KISA. MSIT и KISA попросили сохранить доказательства.2 июня
MSIT и KISA начали выездное расследование.3 июня
После рассмотрения комитетом по расследованию инцидентов была сформирована совместная группа государственного и частного расследования, и было выпущено публичное предупреждение о смишинге. С этого дня TVING организовал специальный колл-центр для затронутых пользователей и объявил об утечке на своём сайте и в приложении.3 сентября
MSIT опубликовал результаты расследования: утекли данные 39,54 млн аккаунтов (с учётом дубликатов) и 361 проект разработки. Количество людей будет объявлено Комиссией по защите персональных данных.
- Аккаунты
- 22 063 021 активный, 8 502 679 спящих, 8 868 174 удалённых, 106 823 тестовых. Всего 39 540 697 с учётом дубликатов. У одного человека было до 13 аккаунтов
- Данные
- ID, пароль (необратимо зашифрованный), единый ID CJ ONE, имя, номер мобильного телефона (последние 4 цифры зашифрованы), адрес электронной почты (локальная часть зашифрована), дата рождения, пол, информация о подключении (CI), информация о проверке дубликатов регистрации (DI), имя профиля, PIN-код блокировки профиля (зашифрованный), номер счёта для возврата средств (зашифрованный), IP-адрес, данные транзакций в магазинах приложений, данные партнёрских сервисов, суммы и история возвратов, купоны TVING, баланс наличных и платежи, история платежей
- Шифрование на практике
- Номера мобильных телефонов и адреса электронной почты были частично зашифрованы, но ключ шифрования тоже утёк, поэтому их сочли равнозначными утечке в открытом виде
- Пароли
- Необратимо зашифрованы; подтверждено, что их невозможно расшифровать в открытый текст
- По типу аккаунта
- У аккаунтов с CI в среднем утекло 11,1 типа данных; у аккаунтов без CI — 4,6
- Вторичный ущерб
- На момент объявления вред пользователям подтверждён не был, торговля на тёмном вебе не обнаружена. Группа сочла возможными смишинг, голосовой фишинг и другой вторичный ущерб
- Технические активы
- Проекты разработки с исходным кодом: утекли 361 проект (30,35 ГБ)
Почему текст о «компенсации» — самый большой риск
Можно заменить
- Пароль (в этот раз его нельзя расшифровать; просто прекратите его повторное использование)
- Адрес электронной почты (неудобно, но его можно изменить)
- Банковский счёт для возврата средств (утёк в зашифрованном виде; если беспокоитесь, спросите свой банк)
Не может быть заменено вами
- Имя, дата рождения, пол
- Информация о подключении (CI) и DI
- Номер мобильного телефона (его можно сменить, но он связан со всем остальным)
MSIT описывает CI как уникальное значение, которое идентифицирует человека вместо номера регистрации резидента. В отличие от пароля, его нельзя переиздать после утечки. Сообщение от человека, который знает ваше имя, дату рождения, номер телефона и то, что вы были участником TVING, гораздо убедительнее, чем обычный спам с неизвестного номера.
Ещё одно обстоятельство делает ситуацию хуже. TVING действительно предлагает компенсацию, поэтому для участника фраза «подайте заявку на компенсацию» выглядит как долгожданное сообщение. Лучший момент для мошенника — период, когда настоящий процесс и поддельное сообщение используют одни и те же слова.
Поэтому вместо того, чтобы оценивать каждое сообщение на предмет подозрительности, этот сайт рекомендует простое правило: игнорируйте все сообщения, связанные с компенсацией, и сами откройте приложение для проверки. Правило, которое не требует суждения в момент получения сообщения, легче соблюдать.
Для разработчиков и администраторов: насколько далеко мог дотянуться один ключ доступа
Группа расследования разбила утечку на пять этапов. Схема ниже упорядочивает этот путь вокруг этапов, на которых можно было остановить ущерб.
1. Ключ среды разработки одного разработчика
Как он был украден: не подтверждено
↓→
Ограничения по устройствам и сети, MFA
2. Все 361 проект разработки
Каждый разработчик мог получить доступ к каждому проекту
↓→
Доступ только к репозиториям своей команды (наименьшие привилегии)
3. 43 производственных ключа внутри кода
41 жёстко прописан, 3 в конфигурации окружения в открытом тексте (1 дубликат)
↓→
Сканирование секретов до коммита, ключи в хранилище секретов
4. Облачная производственная среда → учётные данные БД в открытом тексте
↓→
Сужение прав каждого ключа, защита учётных данных БД
5. Массовый вывод базы пользователей
Обнаружения не было, кроме оповещения о нагрузке на ЦП
↓→
Оповещения о массовых чтениях и исходящем объёме
Самый важный вывод — насколько далеко мог дотянуться один ключ. Группа расследования заявила, что TVING предоставлял каждому разработчику доступ ко всем проектам разработки, поэтому один ключ среды разработки открывал все 361 проект, а исходный код содержал ключи производственной среды.
Группа также установила, что:
- обнаружение аномалий опиралось на простой мониторинг, например на нагрузку ЦП
- обнаруженный в тесте на проникновение 2024 года факт жёстко прописанного ключа не был устранён
- журналы доступа VPN хранились только около шести дней
MSIT заявил, что намерен наложить административный штраф по Закону о сетях, поскольку TVING сообщил об инциденте более чем через 24 часа после того, как узнал о нём.
Просканируйте все репозитории на наличие секретов (один раз, на этой неделе)
Группа назвала проблемами «жёстко прописано в исходном коде» и «хранится в открытом виде в конфигурации окружения». Сначала просканируйте текущие репозитории и всю историю коммитов инструментом обнаружения секретов и отзовите и перевыпустите всё, что найдёте, а не просто удаляйте (ключ, оставшийся в истории, продолжает работать даже после удаления файла).
Затем добавьте что-то, что блокирует секреты до коммита; см. статью как поймать секреты до коммита с gitleaks.
Ограничьте то, до чего может добраться ключ разработчика, репозиториями его команды
Давать всем доступ ко всем репозиториям удобно, но один утёкший ключ тогда открывает все репозитории. Разделите доступ к репозиториям по командам, а репозитории с производственными ключами ограничьте ещё более узким кругом. Модели прав self-hosted Git и GitHub сравниваются в статье безопасность self-hosted Git и GitHub.
Добавьте одно оповещение, основанное на объёме выгружаемых данных, а не на нагрузке ЦП
По данным расследования, первая попытка выгрузки была замечена оповещением о всплеске нагрузки на ЦП базы данных, но это оповещение не сработало во время второй, масштабной утечки. Метрики нагрузки находят проблемы с производительностью, а не кражу данных.
Настройте первое оповещение так, чтобы оно срабатывало, когда происходит любое из следующего:
- учётная запись базы данных считывает за один раз гораздо больше строк, чем обычно
- недавно созданный сервер или новый ключ отправляет большие объёмы данных наружу
Хорошее начало — оповещения о событиях создания ресурсов в журнале аудита облачной платформы.
Позиция этого сайта: ущерб можно было ограничить, даже не зная, как украли ключ
Группа расследования не смогла установить, как был украден ключ среды разработки. Анализ инцидентов часто сосредоточен на вопросе «как они проникли», но урок здесь касается того, насколько далеко распространился ущерб после проникновения: группа сочла, что при надлежащем управлении ключами злоумышленник не смог бы попасть в производственную среду. Иными словами, даже не зная точки входа, сужение того, к чему может получить доступ один ключ, снижает ущерб.
В Японии в том же году большинство раскрытых утечек также произошли через легитимные учётные данные, а не через уязвимости программного обеспечения (утечки 2026 года шли через легитимные учётные данные). Японский случай, когда учётные данные GitHub привели к облаку компании, описан в статье утечка CAMPFIRE.
Источники (публичные данные)
Факты в этой статье основаны на указанных ниже публичных источниках. Мы не строим предположений о нераскрытых методах или причинах.
- Пресс-релиз Министерства науки и ИКТ, «Результаты расследования утечки TVING» (3 сентября 2026 года; на корейском языке) — msit.go.kr
- Пресс-релиз Министерства науки и ИКТ, «MSIT начинает расследование утечки TVING» (3 июня 2026 года; с приложением: публичное уведомление о безопасности по предотвращению вторичного ущерба; на корейском языке) — msit.go.kr
- Сообщение о заявлении TVING от 3 июня — Byline Network (на корейском языке)
- Сообщение о примерно 19,53 млн человек, основанное на материалах, представленных Национальной ассамблее в июне — Asia Economy
- Сообщение о продлении срока компенсации (29 сентября 2026 года) — Nocut News (на корейском языке)
- Защита от кражи личности — M-Safer (msafer.or.kr) / Служба финансового надзора — FINE (fine.fss.or.kr) / KISA — Boho Nara (boho.or.kr)
История обновлений
2026-09-30: первая публикация на основе объявления MSIT от 3 июня о начале расследования и результатов расследования от 3 сентября. Мы обновим материал, когда Комиссия по защите персональных данных объявит количество людей.
Читайте далее
- Корея: четыре утечки в банках (октябрь 2026)
- Другой корейский случай в этом году: утечка CHAEVI (приложение для зарядки электромобилей)
- Мошенничество с выдачей себя за другого: что такое фишинг / основы безопасности смартфона
- Пароли: как выбрать менеджер паролей / как выбрать многофакторную аутентификацию
- Разработчикам: как поймать секреты до коммита с gitleaks / утечка CAMPFIRE через GitHub
- Другие инциденты 2026 года: утечки данных и кибератаки в 2026 году