Vazamento de 4,6 milhões de usuários do Ttareungyi confirmado pela polícia de Seul
O vazamento do Ttareungyi é real, não é alegação de criminoso: em 21/07/2026 a Seoul Facilities Corporation começou a notificar individualmente cerca de 4,62 milhões de cidadãos, número já sustentado por polícia, regulador e pela própria operadora. O incidente ocorreu em junho de 2024, foi descoberto por acaso pela polícia em janeiro de 2026 durante outra investigação, e a causa técnica foi uma falha de controle de acesso (servidor devolvia dados de assinantes sem validar token de autenticação) explorada por dois adolescentes.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O número de 4,62 milhões de registros é confiável e consistente entre polícia, regulador e operadora, não é uma alegação inflada de ator — o registro interno deve migrar de 'unverified' para 'confirmado'.
O vetor foi falha de controle de acesso no servidor (autorização quebrada / IDOR): endpoints devolviam dados de assinantes mediante entrada de valores específicos, sem verificar token de autenticação. Não houve ransomware nem malware sofisticado.
A operadora não detectou o ataque por meios próprios: só tomou conhecimento quase 19 meses depois, quando a polícia comunicou o achado forense — o que indica falha de detecção e monitoramento à época, não apenas de prevenção.
O risco imediato de fraude de identidade é limitado porque nome, senha e número de registro de residente (RRN) não foram coletados nem vazados; o risco material é de phishing e engenharia social a partir de telefone, endereço e data de nascimento.
A investigação policial não encontrou evidência de que os dados tenham sido repassados a terceiros ou comercializados, o que reduz — mas não elimina — a probabilidade de circulação futura.
O desfecho sancionatório do regulador (PIPC) ainda está aberto; dado o histórico de multas do órgão em casos de grande porte, é provável processo administrativo contra a Seoul Facilities Corporation, mas o valor e o prazo não estão determinados.
Análise
Este é um caso onde a distinção entre o que o ator alega e o que a evidência demonstra praticamente desaparece — porque não há ator reivindicando nada. O número de 4,62 milhões não vem de um post em fórum criminoso; vem da própria polícia sul-coreana, do regulador de proteção de dados (PIPC) e da operadora do serviço, a Seoul Facilities Corporation. O Governo Metropolitano de Seul enviará mensagens individuais a cerca de 4,62 milhões de cidadãos afetados, após a Seoul Facilities Corporation ter finalizado os itens vazados de cada indivíduo em consulta com a Agência Nacional de Polícia e a Comissão de Proteção de Informação Pessoal. O registro interno que classificava isto como 'claimed / unverified' está desatualizado e deve ser corrigido para confirmado.
A cronologia é o ponto mais desconfortável para a operadora. Entre 28 e 29 de junho de 2024, os suspeitos acessaram o servidor do Ttareungyi operado pela Seoul Facilities Corporation e extraíram a base de usuários. Mas a organização não percebeu nada por conta própria. A operadora só soube da suspeita de vazamento em 27 de janeiro de 2026, quando a Divisão Cibernética da Polícia de Seul a comunicou; o regulador recebeu a notificação em 30 de janeiro de 2026 e abriu investigação imediatamente. Ou seja: aproximadamente 19 meses entre a exfiltração e a descoberta, e a descoberta foi acidental, subproduto de outra investigação.
O vetor técnico não é sofisticado, e isso importa para a análise de culpabilidade. Parte dos servidores do Ttareungyi permitia consultar informações de assinantes apenas inserindo valores específicos, sem verificação de token de autenticação — uma falha acessível até para um estudante de ensino médio que aprendeu a hackear sozinho. Isso é, em termos técnicos, autorização quebrada em nível de objeto (BOLA/IDOR): o servidor confiava no parâmetro enviado e devolvia dados sem checar se o requisitante estava autenticado ou autorizado. É o mesmo padrão de falha visto em outros grandes vazamentos recentes por enumeração sequencial de IDs.
A resposta a incidente também foi tardia e incompleta segundo a apuração. A operadora teria recebido, cerca de 20 dias após o incidente, um relatório de empresa de segurança confirmando o vazamento, mas — além de instalar um WAF — não executou ações iniciais essenciais como notificar usuários e comunicar órgãos competentes. Se confirmada, essa constatação desloca a discussão de 'fomos vítimas de um ataque' para 'houve descumprimento de dever de resposta e notificação'.
Sobre os dados: há uma nuance de risco que quase toda cobertura embaralha. Confirmou-se que nome, senha e número de registro de residente (RRN) não foram vazados. O RRN é o identificador sensível por excelência na Coreia, usado em fraude de identidade — sua ausência reduz materialmente o pior cenário. Ainda assim, o conjunto exposto é substancial. Os itens vazados podem incluir ID de usuário, número de celular, data de nascimento, sexo, peso, e-mail, código postal, endereço e — no caso de menores — número de celular, data de nascimento e sexo de um responsável. Telefone + endereço + data de nascimento é combustível para phishing direcionado e engenharia social, não para abertura de conta bancária.
A magnitude relativa é o dado que os números absolutos escondem. O vazamento afetou 4,62 milhões de pessoas e, com o Ttareungyi tendo cerca de 5 milhões de usuários registrados, isso equivale a aproximadamente 90% de toda a base. Praticamente toda a base de um serviço público municipal foi comprometida. Vale registrar a divergência de números na fase inicial: em janeiro de 2026, a imprensa falava em cerca de 4,5 milhões e tanto a cidade quanto a polícia diziam que o dado não estava confirmado; o número consolidado de 4,62 milhões só foi fixado depois da apuração conjunta.
Quanto aos autores e ao risco de circulação: a investigação não encontrou evidência de que os dados roubados tenham sido compartilhados com terceiros. Isso é positivo, mas é uma afirmação sobre o que a forense encontrou, não uma garantia de que os dados não existam em cópia em outro lugar. Trata-se de dois menores que se conheceram pelo Telegram por interesse comum em segurança da informação, não de um grupo de crime organizado voltado a monetização — o que é coerente com a ausência, até agora, de venda ou publicação em fóruns.
Um ponto sobre nossa própria disciplina de fonte: nas escalas Admiralty, o comunicado da operadora e o boletim do regulador são fonte A, mas o específico dado técnico do 'WAF instalado sem notificar' vem de veículo único (asiatime) e permanece B/2 até corroboração independente. Não deixamos a solidez do número de vítimas contaminar a confiança em cada detalhe operacional.
Cronologia
- 01 abr 2024Período de ataques DDoS intensos; um dos suspeitos, ao mirar uma empresa privada de mobilidade, identifica vulnerabilidades no sistema do Ttareungyi (data aproximada).
- 28 jun 2024Início da extração da base de assinantes do servidor do Ttareungyi, operado pela Seoul Facilities Corporation.
- 29 jun 2024Fim da janela de extração dos dados (ataque ocorreu entre 28 e 29 de junho de 2024).
- 01 jul 2025Durante análise forense de dispositivos apreendidos em outro caso, a polícia encontra arquivos com informações de usuários do Ttareungyi (mês apurado).
- 27 jan 2026A Divisão Cibernética da Polícia Metropolitana de Seul comunica à Seoul Facilities Corporation a suspeita de vazamento — primeira vez que a operadora toma ciência.
- 30 jan 2026Operadora notifica o vazamento ao regulador (PIPC), que abre investigação formal às 9h46; imprensa noticia cerca de 4,5 milhões de registros, número ainda não confirmado à época.
- 23 fev 2026Polícia anuncia o indiciamento de dois menores (à época estudantes de ensino médio) por violação da Lei da Rede de Informação e Comunicação; mandados de prisão rejeitados duas vezes por serem menores.
- 21 jul 2026Seoul Facilities Corporation inicia notificação individual a cerca de 4,62 milhões de cidadãos (MMS e site), com envio de ~1,2 milhão de mensagens por dia, e oferece passe de 30 dias (~5.000 won) como compensação.
Dados envolvidos
Impacto
Cerca de 4,62 milhões de membros do serviço público de bicicletas compartilhadas de Seul tiveram dados pessoais expostos — o equivalente a aproximadamente 90% de toda a base de usuários do Ttareungyi. Os dados incluem identificadores de contato e demográficos (ID, celular, data de nascimento, sexo, peso, e-mail, CEP, endereço) e, para menores, dados de um responsável. Nome, senha e número de registro de residente não foram expostos, o que limita o risco de fraude de identidade direta, mas o conjunto habilita campanhas de phishing e engenharia social altamente personalizadas contra a população da cidade. A compensação oferecida é um passe de 30 dias avaliado em cerca de 5.000 won (aprox. US$ 3,40), distribuído via aplicativo em agosto — reparação simbólica frente à sensibilidade e à escala do vazamento.
Elos técnicos
Recomendações
- Titulares afetados devem tratar qualquer contato (SMS, e-mail, ligação) que use nome do Ttareungyi, dados de nascimento ou endereço como potencial phishing dirigido; a notificação oficial é MMS/site e não pede senha, pagamento ou clique em link de credencial.
- Operadores de serviços com bases de usuários em endpoints REST devem auditar controle de acesso em nível de objeto (BOLA/IDOR): todo endpoint que retorna dado por ID deve validar token de sessão E autorização do requisitante sobre aquele objeto, não confiar no parâmetro.
- Implantar detecção de enumeração sequencial: alertas para volume anômalo de requisições variando ID/parâmetro a partir de uma mesma origem, com rate limiting — o gap de 19 meses aqui foi de detecção, não só de prevenção.
- Definir e testar o runbook de resposta a incidente com gatilhos obrigatórios de notificação a titulares e reguladores dentro do prazo legal; a instalação de WAF não substitui o dever de notificação.
- Para times de CTI no Brasil: usar este caso como referência ao avaliar alegações de vazamento — a distância entre número inicial de imprensa (4,5 mi) e número consolidado (4,62 mi) mostra por que se registra a alegação e a confirmação separadamente, mesmo sem ator envolvido.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Desfecho da investigação do regulador (PIPC): não há decisão pública sobre multa ou ordem corretiva contra a Seoul Facilities Corporation — a resolução da PIPC encerraria essa lacuna.
Confirmação independente da alegação de resposta tardia (WAF instalado sem notificação de usuários/autoridades): sustentada por veículo único; corroboração por documento do regulador ou auditoria oficial resolveria.
Especificação exata do endpoint e do parâmetro explorados: as fontes descrevem 'falta de validação de token' genericamente; um laudo técnico ou nota da operadora detalharia o mecanismo.
Destino atual dos dados exfiltrados: a forense não achou repasse a terceiros, mas não há verificação de que não existam cópias — monitoramento de fóruns e a conclusão do processo penal reduziriam a incerteza.
Status final do processo contra os dois menores: indiciados em fevereiro de 2026, mas o desfecho judicial (medidas socioeducativas ou não) não foi apurado.
Número exato de menores entre os afetados: dado que há campo de responsável, a proporção de titulares menores de idade não foi divulgada.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.