Tving : une nouvelle période de compensation après le piratage

Une compensation prolongée après la première période de demande

Tving avait initialement ouvert les demandes de compensation du 7 au 30 septembre. La plateforme a ensuite annoncé une période complémentaire, du 6 octobre à 10 heures au 30 octobre à 23 h 59, destinée aux membres affectés qui n'avaient pas fait leur demande pendant la première fenêtre. Selon Digital Today, cette décision a été annoncée par Tving le 29 septembre. La page officielle de Tving confirme l'existence d'un espace de demande de compensation.

Les personnes qui avaient déjà soumis une demande durant la première période ne sont pas concernées par cette prolongation. La plateforme indique que les demandeurs peuvent vérifier leur éligibilité depuis le menu « MY » de son site ou de son application, après connexion. Ce point est important : une information sur une compensation est précisément le type de contexte que des fraudeurs peuvent exploiter dans un faux SMS ou un faux e-mail.

Les options annoncées ne sont pas un remboursement automatique

Les informations publiées font état d'un choix parmi plusieurs avantages : une année d'assurance contre le piratage et le phishing, des fonctions de visionnage premium, des points Tving, un accès à une offre financée par la publicité chez Wavve ou des remises partenaires. Digital Today indique que l'assurance proposée prévoit une couverture maximale de trois millions de wons. Le choix ne serait plus modifiable après l'envoi de la demande.

Il faut distinguer ces avantages de la réparation d'un préjudice individuel. Les sources lues décrivent un dispositif proposé aux membres éligibles, pas une décision de justice établissant un montant dû à chaque personne. Elles ne permettent pas non plus d'établir, pour chaque type d'avantage, les conditions exactes ou les éventuelles restrictions. Les utilisateurs concernés doivent donc les consulter uniquement depuis l'interface Tving qu'ils ouvrent eux-mêmes.

Le piratage confirmé reposait sur une clé de développeur volée

Cette campagne de compensation suit un incident dont le mécanisme a été rendu public. Selon l'enquête annoncée le 3 septembre par le ministère sud-coréen des Sciences et des TIC, une clé d'accès appartenant à un développeur a été dérobée puis utilisée pour accéder aux systèmes internes de Tving. Une telle clé est un secret technique qui permet à un logiciel ou à un administrateur de prouver son autorisation d'accès. Ce n'est pas le mot de passe d'un abonné.

L'enquête a aussi relevé 361 actifs techniques compromis, dont du code source. Elle ne conclut pas que chaque compte a exposé les mêmes informations. Le total de 39,54 millions désigne des comptes et peut comporter plusieurs comptes détenus par une même personne. Parmi eux, 22,06 millions étaient encore actifs. Ces nuances empêchent de transformer le chiffre en nombre certain de victimes individuelles.

Des coordonnées suffisantes pour rendre un faux message crédible

L'enquête cite 20 catégories et 70 types de données. Les éléments rendus publics comprennent notamment des noms, dates de naissance, numéros de téléphone, adresses e-mail et informations de connexion. Leur présence variait selon le mode de création du compte, qu'il soit direct, lié à CJ ONE ou connecté via un service tiers. Les autorités ne disent pas que l'ensemble de ces données figurait dans chaque fiche.

C'est toutefois suffisant pour renforcer une tentative de smishing ou de vishing, c'est-à-dire un SMS ou un appel frauduleux. Un escroc qui connaît le nom d'une personne et le service qu'elle utilise peut envoyer une prétendue alerte d'indemnisation, de vérification ou de renouvellement, avec un ton beaucoup plus crédible qu'un message générique. L'existence réelle d'une campagne de compensation lui fournit même un prétexte particulièrement plausible.

Le réflexe utile : ignorer le lien, ouvrir soi-même le service

Pour une personne utilisant Tving, la bonne méthode est de ne jamais suivre un lien reçu par SMS ou e-mail, même si le message évoque la période de compensation ou cite des informations exactes. Ouvrez directement l'application habituelle ou saisissez vous-même l'adresse du site officiel, puis consultez le menu prévu par Tving. Ce geste évite que l'urgence artificielle d'un faux avis conduise vers une page de connexion imitée.

La même prudence s'applique au téléphone. Ne donnez pas un code reçu par SMS à un appelant qui se présente comme le service client ou comme un interlocuteur chargé de la compensation. Raccrochez, puis reprenez l'initiative via l'application ou les coordonnées officielles du service. Les données exposées peuvent rendre un contact convaincant, mais elles ne constituent jamais une preuve d'identité.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas accéder à la liste des comptes touchés, ni vérifier quelles données ont été exposées pour un compte précis. Nous ne pouvons pas davantage établir le nombre de personnes distinctes derrière les 39,54 millions de comptes, ni déterminer si des données ont été diffusées ou utilisées après leur exfiltration.

Les conditions détaillées de chaque option de compensation, l'éligibilité d'un membre donné et le calendrier effectif de remise ne peuvent être vérifiés qu'à partir de l'espace officiel Tving connecté. Enfin, l'auteur du piratage n'est pas identifié publiquement et les sources lues ne permettent pas de confirmer son origine ou l'issue de l'enquête policière.

Sources : Yonhap ↗ · Tving ↗ · Digital Today ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.