Violation de données chez la plateforme de streaming TVING : près de 40 millions de comptes exposés

Le 3 juin 2026, TVING, la plateforme sud-coréenne de streaming vidéo détenue par CJ ENM, a présenté publiquement ses excuses après avoir confirmé que des données personnelles de ses membres avaient fuité vers un tiers externe non autorisé. L'entreprise a indiqué que les champs exposés comprenaient les identifiants, noms, dates de naissance, sexe, numéros de téléphone mobile et adresses e-mail, et que les numéros d'enregistrement de résident et les données de paiement n'étaient pas concernés. Elle a invité les utilisateurs à changer leur mot de passe sur tout autre service où ils réutilisaient leurs identifiants TVING.

TVING n'avait alors communiqué aucun nombre de victimes. Trois mois plus tard, une enquête conjointe du ministère des Sciences et des TIC et de la Korea Internet & Security Agency (KISA) a chiffré l'ampleur à 39,54 millions de comptes : environ 7,26 millions de comptes TVING directs, 8,63 millions d'adhésions intégrées CJ ONE et 22,47 millions de comptes à connexion sociale, dont environ 22 millions actifs. Les enquêteurs ont également constaté que 361 actifs techniques, dont du code source, avaient été dérobés.

Ce qui s'est passé

Selon l'enquête, un attaquant non identifié a volé la clé d'accès d'un développeur et l'a utilisée pour pénétrer dans les systèmes internes de TVING. Les données exposées couvraient quelque 70 types d'informations répartis en 20 catégories, dont des données de connexion. Aucun groupe n'a revendiqué publiquement l'intrusion, et la police enquête.

TVING a détecté la violation le 30 mai 2026, mais ne l'a signalée à la KISA que le 1er juin, sans respecter l'obligation de notification sous 24 heures. La Personal Information Protection Commission examine les sanctions applicables, tant pour ce retard que pour la violation elle-même.

Pourquoi c'est important

Avec près de 40 millions de comptes touchés, l'incident TVING compte parmi les plus importantes violations de données de 2026 en Corée du Sud, après d'autres fuites grand public très médiatisées dans le pays. Il montre qu'un seul identifiant de développeur divulgué peut ouvrir l'accès à la fois aux données clients et au code source, et les enquêteurs ont averti que les données volées pourraient alimenter des campagnes de smishing et d'hameçonnage vocal visant les utilisateurs coréens.