韩国TVING泄露3954万个用户账户：开发者访问密钥失管，加密密钥同失致明文等效

账户构成显示：可登录的活跃账户2206万，非活跃账户1737万（含休眠850万、已注销887万），测试账户11万；按注册渠道分，社交平台简易注册2247万占57%，CJ ONE 통합会员863万，TVING直接注册726万。单个用户最多持有13个账户。

泄露规模被放大的根因是密钥管理失控。攻击者窃取了发放给全体开发者的开发环境访问密钥，一次拿走361个开发项目（共30.35GB）；其中43个项目的源代码中明文存放着生产环境访问密钥，攻击者由此进一步渗透生产环境，并发现存储用户信息的数据库账号口令亦以明文保存。

更严重的是加密失效：手机号与邮箱等字段虽为加密存储，但加密密钥同时被窃取，调查组认定其暴露效果等同明文。TVING曾于2024年渗透测试中发现「生产密钥写在源码里」的问题却未修复。

TVING于5月31日发现入侵，6月1日才向KISA报告，超出《信息通信网法》规定的24小时报告时限，将面临3000万韩元以下罚款；此外第二次数据外泄未触发数据库负载异常告警。科技部要求其建立密钥全生命周期管理与异常监测体系，并补充专职安全人员——目前仅4人，而开发人员达149人。PIPC将另行认定个人信息泄露规模并决定处罚金额。