Több mint 422 ezer Weverse-fiók vásárlási adatai kerültek veszélybe

Adatbiztonsági incidens érte a Hybe szuperrajongói platformját, a Weverse-t, amelynek során 422 584 felhasználói fiókhoz kapcsolódó azonosítók és vásárlási információk kerültek veszélybe. A vállalat szerint teljes bankkártyaadatok nem szivárogtak ki, és a jelenleg rendelkezésre álló információk alapján nem valószínű, hogy az érintett adatok önmagukban elegendők lennének jogosulatlan fizetések vagy átutalások végrehajtásához.

Az incidenst Zooil Yang, a Weverse elnöke ismerte el egy felhasználóknak szóló általános tájékoztatásban. A vizsgálat azután kezdődött, hogy a Korea Internet & Security Agency (KISA) szeptember elején értesítette a vállalatot egy külső bejelentő által jelzett biztonsági sérülékenységről. A Weverse ezt követően belső ellenőrzést és sürgősségi intézkedéseket indított, amelyek során megerősítették, hogy valóban történt adatkitettség.

A kompromittált információk között a felhasználókhoz rendelt egyedi belső azonosítók, valamint különböző tranzakciós adatok szerepeltek. Kikerülhetett a fizetéshez használt módszer, a vásárlások dátuma és pontos időpontja, illetve az egyes tranzakciók összege, a Weverse tájékoztatása szerint azonban a bankkártyaszámok nem tartoztak az érintett adatok közé.

A vállalat külön hangsúlyozta, hogy a kiszivárgott numerikus azonosítók belső rendszerazonosítók, amelyek kizárólag a Weverse Company infrastruktúráján belül használhatók, ezért önmagukban külső szolgáltatásokban nem alkalmasak a felhasználók azonosítására vagy tranzakciók kezdeményezésére. Az érintett 422 584 fiók tulajdonosait közvetlenül is értesítik az incidensről.

A Weverse közlése alapján már megkezdték annak a technikai környezetnek az átalakítását is, amelyen keresztül az adatok hozzáférhetővé válhattak. A fizetési információkat kezelő API biztonságát szigorúbb hozzáférés-szabályozással erősítették meg, miközben a belső felhasználói azonosítókat eltávolították azokról a pontokról, ahol fennállhatott a külső kitettség lehetősége.

A vállalat ennél szélesebb körű ellenőrzést is ígér. Minden kívülről hozzáférhető API-ra kiterjedő vizsgálatot indítanak annak érdekében, hogy csökkentsék az ilyen interfészeken keresztül elérhető információ mennyiségét, és tovább szigorítsák a jogosultságkezelést. Emellett a szoftverek kiépítési és telepítési folyamatainak ellenőrzését, valamint a biztonsági monitoring érzékenységét is növelni akarják.

A Weverse azt is jelezte, hogy az incidensért felelős személyek azonosítására és felelősségre vonására törekszik. A mostani közlemény ugyanakkor egyelőre elsősorban a kiszivárgott adatok körét és a technikai válaszlépéseket tisztázza; abból nem derül ki teljes részletességgel, hogy a sérülékenység pontosan mennyi ideig állhatott fenn, illetve illetéktelenek milyen mértékben férhettek hozzá ténylegesen az érintett információkhoz.

Az eset súlyát növeli a platform mérete. A Weverse 2026 második negyedévében rekordot jelentő 14,4 millió havi aktív felhasználóról számolt be, és mára a globális K-pop-ipar egyik meghatározó digitális infrastruktúrájává vált. A rajongók nemcsak előadókat követnek rajta, hanem exkluzív tartalmakhoz férnek hozzá, előfizetéseket kezelnek és különböző termékeket is vásárolnak, vagyis a platform jóval több egy hagyományos közösségi felületnél.

A dél-koreai digitális szolgáltatások adatbiztonsága ráadásul más ügyek miatt is fokozott figyelmet kap: a közelmúltban a Tving videós szolgáltatóval kapcsolatban egy ennél lényegesen nagyobb, közel 40 millió fiókot érintő esetről is megjelentek hírek. A Weverse-incidens után a közösségi médiában már akadnak olyan felhasználók, akik jelenlegi előfizetésük lejárta után nem terveznek hosszabbítani, tömeges elvándorlásra utaló jelek azonban egyelőre nem láthatók.

A Weverse számára ezért a következő időszak nemcsak technikai, hanem bizalmi kérdés is lesz. Egy olyan platformnál, amelynek üzleti modellje a legelkötelezettebb rajongók közvetlen kapcsolatára, előfizetéseire és vásárlásaira épül, egy több százezer fiókot érintő adatvédelmi incidens akkor is komoly figyelmeztetés, ha a kiszivárgott információk között nem szerepeltek teljes bankkártyaadatok.