Kibertámadás érte a BTS mögött álló HYBE-ot, érzékeny személyes adatok szivárogtak ki

Újabb adatbiztonsági botrány rázta meg a dél-koreai szórakoztatóipart. A BTS, a SEVENTEEN és a TXT mögött álló HYBE október 18-án jelentette be, hogy illetéktelenek fértek hozzá belső rendszereihez, és jelenlegi, illetve korábbi munkatársak, valamint üzleti partnerek személyes adatai kerültek ki a vállalattól. Az ügy november elején kapott szélesebb nyilvánosságot, a dél-koreai rendőrség pedig már előzetes vizsgálatot indított. 

A kiszivárgott információk között személyazonosító számok, útlevéladatok, bankkártya- és bankszámlaszámok, valamint egészségügyi dokumentumok is szerepeltek. Emellett nevek, lakcímek, telefonszámok, e-mail-címek, születési dátumok és belső munkavállalói azonosítók is érintettek lehettek. A HYBE hangsúlyozta, hogy az adatkör személyenként eltérő, és az érintetteket külön tájékoztatják arról, pontosan milyen információik kerültek veszélybe.

A vállalat belső biztonsági ellenőrzés során fedezte fel a jogosulatlan hozzáférés nyomait. A támadók egy külső szolgáltató dokumentum-előnézeti szoftverén keresztül juthattak be a HYBE elektronikus jóváhagyási rendszeréhez kapcsolódó környezetbe. A további vizsgálat hasonló hozzáférést azonosított a költségelszámolási rendszerben is. A két rendszerben tárolt belső dokumentumok egy része, valamint az azokban szereplő személyes adatok kikerültek a vállalattól. 

A HYBE tájékoztatása szerint az incidensek szeptember 12–13-án, majd október 3–5-én történtek. A cég nem közölte, hány ember adatait érintette a támadás, így a kiszivárgás pontos mérete egyelőre nem ismert. A vállalat azt is jelezte, hogy a bejelentés időpontjáig nem érkezett hozzá olyan információ, amely a megszerzett adatokkal való visszaélésre utalt volna. Ez azonban önmagában nem zárja ki a későbbi visszaélések lehetőségét.

A cég közleményében elnézést kért az érintettektől, és közölte, hogy blokkolta a támadáshoz használt IP-címeket és hozzáférési útvonalakat. Az esetet jelentették a Korea Internet & Security Agency (KISA) és a dél-koreai személyesadat-védelmi hatóság felé. A HYBE emellett szigorúbb belső hozzáférés-ellenőrzést, fokozott biztonsági monitorozást és a védelmi rendszerek felülvizsgálatát ígérte. 

A vállalat külön figyelmeztette az érintetteket az esetleges másodlagos támadásokra. A kiszivárgott személyes és pénzügyi adatok ugyanis alkalmasak lehetnek arra, hogy csalók hitelesnek tűnő üzenetekkel próbáljanak további információkat vagy pénzt szerezni. A HYBE ezért arra kérte az érintetteket, hogy kezeljék óvatosan a vállalat nevében érkező, számlaadatokat vagy érzékeny információkat kérő megkereséseket, és ne nyissanak meg ismeretlen forrásból származó hivatkozásokat.

November 3-án a Gyeonggi Nambu tartományi rendőrség előzetes vizsgálatot indított az ügyben, a dél-koreai országos rendőr-főkapitányság utasítására. A hatóságok elsősorban azt próbálják feltárni, hogyan történhetett a külső szolgáltató rendszerén keresztüli behatolás, és milyen módon jutottak ki a személyes adatok. A vizsgálat kezdetén még nem azonosítottak gyanúsítottat, és a rendőrség sem rendelkezett végleges adatokkal az érintettek számáról. 

Az eset különösen kellemetlen időszakban érte a HYBE-ot, mivel a vállalatcsoporthoz tartozó Weverse rajongói platform szeptemberben már beszámolt egy másik adatvédelmi incidensről. Akkor 422 584 felhasználói fiókhoz kapcsolódó belső azonosítók és vásárlási információk kerültek veszélybe. A Weverse közlése szerint teljes bankkártyaszámok nem szerepeltek az érintett adatok között. A két eset különálló incidens, és nincs nyilvános bizonyíték arra, hogy ugyanazok a támadók állnának mögöttük.

A Weverse korábbi adatszivárgásáról a OneMusic is beszámolt: Több mint 422 ezer Weverse-fiók vásárlási adatai kerültek veszélybe.

A dél-koreai adatbiztonsági helyzetet más nagyvállalatok ügyei is terhelik. A SK Telecomot 2025-ben jelentős bírsággal sújtották egy mintegy 23,24 millió előfizetőt érintő incidens miatt, míg a Coupang online kereskedelmi vállalatnál több mint 33 millió felhasználó adatai kerültek veszélybe. Ezek az esetek nem kapcsolódnak bizonyítottan a HYBE elleni támadáshoz, de jól mutatják, hogy a nagyméretű személyesadat-állományok védelme egyre komolyabb kihívás a dél-koreai vállalatok számára. 

A HYBE számára most a kiszivárgás pontos körülményeinek feltárása és az érintettek védelme a legfontosabb feladat. A vállalat egyelőre nem közölt becslést az incidens pénzügyi következményeiről, és azt sem tudni, hogy a rendőrségi vizsgálat megállapít-e további biztonsági hiányosságokat. A történtek mindenesetre arra világítanak rá, hogy egy külső szolgáltató sérülékenysége a legnagyobb zeneipari vállalatok belső adatait is veszélyeztetheti.