Violation de 163 millions de comptes Zing ID de VNG

En avril 2018, l'une des plus grandes violations de données jamais recensées en Asie du Sud-Est a été révélée : environ 163 millions de dossiers de comptes de Zing, la plateforme du géant Internet vietnamien VNG Corporation, ont été retrouvés en vente sur le forum de piratage RaidForums. La violation sous-jacente remontait en réalité à 2015, mais sa véritable ampleur n'est devenue publique que trois ans plus tard.

Ce qui s'est passé

En mai 2015, des attaquants ont compromis la base de données derrière Zing ID — l'identifiant de connexion unifié que VNG utilisait pour ses jeux et services en ligne. La violation n'a pas été rendue publique à l'époque. En avril 2018, un utilisateur de RaidForums a mis en vente un jeu de données de exactement 163 666 400 comptes Zing ID, un fichier totalisant environ 7,55 Go.

Les dossiers divulgués comprenaient :

• Identifiants et mots de passe
• Adresses e-mail
• Numéros de téléphone
• Noms complets et dates de naissance
• Adresses IP, ville et pays

Réponse de VNG

Dans un communiqué du 29 avril 2018, VNG s'est abstenue de confirmer pleinement la violation, mais a reconnu avoir « été informée d'un risque de fuite de données portant sur plus de 160 millions de Zing ID » en 2015. L'entreprise a cherché à minimiser l'impact, soulignant que les comptes concernés étaient en grande partie des comptes de jeu — nombre d'entre eux générés automatiquement par ses jeux — et faisant valoir que « l'ampleur de la violation était limitée » sans affecter ses autres services.

La violation a été intégrée à Have I Been Pwned, offrant au public un moyen de vérifier son exposition et consacrant son statut de l'une des plus grandes fuites d'identifiants liées à une seule entreprise vietnamienne.

Le problème de l'ampleur

Le chiffre principal d'environ 163 millions dépasse la population entière du Vietnam (environ 95 millions à l'époque), reflétant le fait qu'un même utilisateur pouvait détenir plusieurs Zing ID générés par les jeux et que le jeu de données s'était accumulé au fil des années. Même corrigé des doublons et des comptes créés par machine, il représentait un énorme trésor d'identifiants réutilisables — du carburant pour des attaques de bourrage d'identifiants (credential-stuffing) contre d'autres services où les utilisateurs recyclaient leurs mots de passe.

Pourquoi c'est important

La violation de Zing ID est un cas emblématique de divulgation tardive : une compromission de 2015 dont le public n'a pris connaissance qu'en 2018, et dont les données ont refait surface en 2023 au sein de la compilation dite « Mother of All Breaches » de 26 milliards de dossiers. Elle illustre comment les identifiants divulgués ne disparaissent jamais vraiment — ils recirculent à travers les forums et les agrégations pendant des années. L'incident est devenu une référence dans le débat vietnamien sur la protection des données personnelles, contribuant à motiver le futur décret sur la protection des données personnelles (PDPD) du pays et une législation plus large sur la sécurité des données.