TVING資料外洩事件（南韓）：假補償簡訊與使用者應採取的行動

MSIT表示，外洩帳號不僅包括約2,206萬筆使用中帳號，還包括約850萬筆休眠帳號及887萬筆已退會帳號。所有註冊途徑都包含在內：TVING自行註冊、CJ ONE整合會員，以及Naver、Kakao等社群登入。

如果您「幾年前用過一下」或「已經刪除帳號」，仍請照以下步驟執行。

MSIT與韓國網路振興院（KISA）於6月3日發布的公開安全提醒中，警告三種情況：

• 使用「損害補償」、「查詢是否受影響」、「退款」、「緊急應用程式更新」等字眼，誘使點擊連結或安裝應用程式的簡訊釣魚（smishing）
• 假冒補償說明的語音釣魚電話
• 出現在搜尋結果或廣告中的釣魚網站

請只在您已安裝的TVING應用程式中，或在您自行輸入的TVING官方網站上查詢補償或是否受影響。該提醒也指出，政府機關與金融機構絕不會透過電話或簡訊要求您安裝遠端控制應用程式（基礎知識：什麼是網路釣魚）。

調查小組確認密碼以單向加密形式外洩，無法解密。儘管如此，若您在其他地方使用相同的ID與密碼，請先處理這些帳號。也請更換TVING密碼；若您是透過Naver、Kakao或其他社群帳號登入，請在該服務開啟雙重驗證。

要讓每個密碼都獨一無二，實際的做法是使用密碼管理工具；若要選擇第二道驗證方式，請參閱如何選擇多因素驗證。

CI、DI、出生日期與手機號碼無法變更。M-Safer（msafer.or.kr）是由南韓通訊委員會與韓國ICT振興協會（KAIT）營運的身分盜用防護服務，當有人以您的名義開通行動電話或類似服務時會發出警示，並可封鎖以您名義申辦的新行動門號。

由於此次外洩並未包含身分證件影像，因此並非必要，但若您擔心，也可以在金融監督院的FINE入口網站（fine.fss.or.kr）登錄為個人資料已外洩者，這樣可以使您本人金融交易的身分檢查更為嚴格。

MSIT的提醒指出，若您透過連結安裝了應用程式，請使用行動版防毒應用程式掃描手機；若發現惡意應用程式，請切換至飛航模式，並改用他人手機向警察（112）報案。

請向電信業者確認行動小額付款紀錄，並申請電信業者提供的免費號碼盜用簡訊封鎖服務，避免您的號碼被用來發送更多簡訊釣魚。如何檢查手機，請參閱智慧型手機安全基礎。

調查小組指出的問題包括「硬編碼於原始碼」與「以明文存放於環境設定」。首先，請使用秘密偵測工具掃描目前的儲存庫及其完整提交歷史，發現的金鑰應撤銷並重新發放，而不是只刪除（留在歷史紀錄中的金鑰，即使刪除檔案仍然有效）。

接著，新增在提交前阻擋秘密資訊的機制；請參閱使用gitleaks在提交前攔截秘密資訊。

讓所有人存取所有儲存庫雖然方便，但一把金鑰外洩就會暴露所有儲存庫。請依團隊切分儲存庫存取權限，並將處理正式環境金鑰的儲存庫限制給更小的群組。自架Git與GitHub的權限模型比較，請參閱自架Git與GitHub的安全性比較。

根據調查，第一次外流嘗試由資料庫CPU飆升警示偵測到，但在第二次大規模外洩時該警示並未觸發。負載指標用來發現效能問題，無法發現資料竊取。

請讓第一項警示在以下任一情況發生時觸發：

• 某個資料庫帳號一次讀取的資料列遠多於平常
• 新建立的伺服器或新金鑰傳出大量資料

以雲端稽核紀錄中的資源建立事件設定警示，是很好的起點。