Chak est de nouveau en ligne. Que va-t-il se passer pour les 3,083 utilisateurs dont les données ont été exposées ?

La Korea Minting and Security Printing Corporation, connue sous le nom de KOMSCO, a déclaré qu’un tiers non autorisé avait accédé à Chak, sa plateforme mobile de bons d’achat en monnaie locale, et consulté les données personnelles de 3,083 personnes. Il s’agissait de l’évaluation à 6 h le 14 novembre 2026, heure normale de Corée, et non d’un décompte final établi. La société a présenté ses excuses et enquête sur les causes avec les autorités compétentes.⁠2⁠3⁠13

La distinction la plus utile dans les informations divulguées ne se situe pas entre « environ 3 000 », comme le titrait KBS pour décrire l’ampleur de l’incident, et le chiffre précis de 3,083. Ces chiffres concordent. Elle se situe entre les différents types d’informations exposées selon les personnes : 3,072 utilisateurs ont eu deux champs ou moins consultés, tandis que 11 en ont eu trois ou quatre. Le seul nombre de champs ne permet pas à un client de savoir à quel point son exposition particulière était sensible.⁠1⁠2

Au total, l’incident concernait sept catégories d’informations : noms, dates de naissance, numéros de téléphone mobile, numéros de comptes bancaires, informations de connexion désignées par le sigle CI, adresses électroniques et numéros de carte chiffrés. Cette liste porte sur l’ensemble de l’incident ; elle ne décrit pas ce qui est arrivé à chaque personne concernée. KOMSCO a donné des exemples de combinaisons de deux champs : un nom et une date de naissance, ou un CI et un numéro de carte chiffré. Les informations divulguées ne permettent pas d’établir que les données bancaires des 3,083 personnes ont toutes été exposées.⁠2⁠3

Elles ne permettent pas non plus d’établir que des numéros de carte utilisables et non chiffrés ont été obtenus. La société a indiqué que les numéros de carte étaient chiffrés, mais les informations disponibles n’expliquent pas la robustesse de cette protection ni si un intrus pourrait la contourner. « Chiffré » est une précision pertinente, mais elle ne suffit pas à déterminer le risque. La consultation non autorisée ne permet pas, à elle seule, d’établir que de l’argent a été dérobé.⁠2⁠3

KOMSCO a détecté pour la première fois des signes d’accès anormal vers 9 h 30 le 13 novembre, heure normale de Corée. Cela donne aux enquêteurs un repère horaire, mais pas une chronologie complète. C’est le moment où la société a remarqué une anomalie, et non une heure vérifiée à laquelle le tiers a pénétré le système pour la première fois. Les informations disponibles ne permettent toujours pas de déterminer comment l’accès a été obtenu ni combien de temps il a duré.⁠2⁠3

Selon les informations rapportées, KOMSCO a d’abord bloqué les adresses IP soupçonnées d’être à l’origine de l’attaque, puis bloqué complètement l’accès depuis les adresses IP étrangères. Elle a ensuite identifié le serveur ciblé, suspendu le service concerné et appliqué des mesures de sécurité d’urgence avant de rétablir le service normal. Aucune heure précise de rétablissement n’a été communiquée. Le blocage des adresses étrangères décrit une mesure de confinement ; il ne permet pas d’établir l’identité ni la nationalité de l’attaquant.⁠2⁠3

KOMSCO a également signalé l’incident à la Korea Internet & Security Agency, ou KISA, et a déclaré coopérer avec les organismes compétents et renforcer la sécurité du système afin d’empêcher de nouveaux accès non autorisés et tout usage abusif des informations exposées. Ces comptes rendus détaillés, publiés par Yonhap et le Korea Economic Daily, reprennent les explications de la société. Ils ne constituent pas une enquête technique publiée de manière indépendante qui démontrerait comment la fuite s’est produite ni que toutes les failles ont été corrigées.⁠2⁠3

Pour les clients, la question immédiate est plus précise que le chiffre total pour l’ensemble de la plateforme : quelles informations ont été consultées dans leur cas ? KOMSCO indique qu’elle informe les clients des faits confirmés, des champs consultés et des précautions à prendre pour éviter d’autres préjudices. Les informations disponibles ne précisent pas comment ces avis sont transmis ni ne permettent d’établir que chaque personne concernée a reçu un avis individuel.⁠2⁠3

La société a exhorté les utilisateurs à se montrer particulièrement vigilants face au hameçonnage vocal et par SMS, c’est-à-dire aux appels téléphoniques et aux messages textuels frauduleux. Cet avertissement concerne la possibilité que les informations exposées servent à cibler les clients. Il ne signifie pas que de telles fraudes ont déjà eu lieu, et les articles disponibles ne fournissent aucune évaluation confirmée des pertes financières.⁠13

« Nous présentons nos profondes excuses au public », a déclaré un responsable anonyme de KOMSCO, selon la traduction anglaise de propos rapportés par Yonhap. Le responsable a reconnu la responsabilité d’un établissement public chargé de protéger les données personnelles et s’est engagé à mobiliser ses moyens pour éviter tout préjudice supplémentaire et protéger les clients.⁠2

Les excuses reconnaissent l’obligation ; l’enquête doit encore expliquer la défaillance. Les questions en suspens sont concrètes : par quelle voie le système a-t-il été pénétré, combien de temps l’accès a-t-il duré, la population concernée s’élargira-t-elle au-delà de l’évaluation du 14 novembre et quelqu’un fait-il un usage abusif des informations exposées ? Aucune date d’achèvement de ces travaux n’a été fixée. Le rétablissement du service est une étape opérationnelle, pas la fin de l’incident pour les personnes dont les données ont été consultées.⁠2⁠3⁠13