Weverse, la plateforme de HYBE, expose les données de 422 584 utilisateurs, y compris des informations de paiement, mais…

Le réseau de sécurité de « Weverse », la plateforme mondiale dédiée à la vie des fandoms, a été percé. Il a été officiellement confirmé qu’une fuite massive de données personnelles, portant sur pas moins de « 422 584 cas », s’était produite sur cette plateforme exploitée par Weverse Company, une filiale de HYBE.

Le PDG de Weverse Company, Yang Joo-il, a indiqué dans un avis officiel publié dans la soirée du 6 que l’entreprise avait découvert la fuite de certaines données clients au cours d’une vérification menée à la suite d’un signalement externe concernant une faille de sécurité. Une grave vulnérabilité est ainsi apparue chez une entreprise qui se revendiquait comme la première plateforme mondiale pour les fandoms.

Des données internes impossibles à identifier, mais l’inquiétude grandit chez les fans

La principale donnée ayant fuité est l’« information d’identification interne ». Il s’agit d’un numéro généré arbitrairement par le système lors de l’inscription d’un utilisateur afin de le distinguer au sein de la plateforme. L’entreprise a souligné qu’aucune information sensible permettant d’identifier directement une personne, comme son nom ou ses coordonnées, n’était incluse.

Il est toutefois trop tôt pour se rassurer. De nombreuses données liées aux paiements, classées parmi les informations générales au motif qu’elles ne relevaient pas des données personnelles, ont également été exposées. Les éléments concernés sont les suivants :

• Type d’achat (mode de paiement) et nom du prestataire de paiement

• Devise et montant de l’achat ou de l’annulation

• Date et heure de l’achat, statut de l’achat et date du remboursement

Yang a expliqué que « ces seuls éléments ne devraient pas permettre la survenue de dommages secondaires, tels que la falsification de paiements ou des virements frauduleux », ajoutant que l’entreprise avait « examiné l’ensemble des « API » (interfaces de programmation d’applications) exposées à l’extérieur et renforcé le contrôle des accès ». Il a également présenté ses excuses aux fans affectés par cette affaire, exprimant ses regrets avec humilité.

Une riposte judiciaire annoncée, le rétablissement de la confiance en jeu

Weverse a engagé, conformément aux lois et règlements applicables, une procédure d’information individuelle des personnes concernées par la fuite. L’entreprise demande également avec fermeté à l’acteur extérieur qui a accédé illégalement aux données lors d’une attaque informatique anormale de restituer ces informations. Elle entend engager jusqu’au bout la responsabilité juridique des auteurs de cette fuite.

Weverse a promis d’éviter toute récidive en portant la sensibilité de sa surveillance de sécurité à son niveau maximal. Mais la dégradation de la confiance envers cette plateforme qui rassemble des millions de fans à travers le monde semble inévitable. Une réponse rigoureuse après l’incident et la reconstruction complète du système de sécurité sont désormais urgentes.