Seoul bietet mehr als 4,6 Millionen Menschen, deren persönliche Daten bei einem Cyberangriff auf den öffentlichen Fahrradverleihdienst Ttareungi preisgegeben wurden, kostenlose einmonatige Fahrradverleihkarten an. Die Entschädigung folgt auf eine Datenpanne im Jahr 2024, die Millionen registrierter Nutzer betraf und eine Untersuchung durch die südkoreanischen Behörden auslöste.
Die Seoul Facilities Corporation, die den Dienst betreibt, teilte mit, dass berechtigte Nutzer einen 30-Tage-Pass erhalten, der täglich eine Stunde kostenlose Fahrradnutzung ermöglicht. Laut lokalen Medien werden die Gutscheine im August über die Ttareungi-App verteilt und müssen innerhalb von drei Monaten eingelöst werden. Bestehende Abonnenten können den Vorteil aktivieren, sobald ihr aktueller Pass abgelaufen ist.
Der Sicherheitsvorstoß ereignete sich im Juni 2024, als zwei Jugendliche unbefugten Zugang zu Ttareungis Servern erhielten und persönliche Informationen von etwa 4,62 Millionen Nutzern extrahierten. Die Behörden gaben an, dass die gestohlenen Daten Namen, Telefonnummern, Geburtsdaten, Konto-IDs, Geschlechtsinformationen und Körpergewicht enthielten.
Je nach den von den Nutzern bei der Registrierung angegebenen Informationen enthielten einige betroffene Einträge auch E-Mail-Adressen, Postleitzahlen, Wohnadressen oder Angaben zum Vormund. Beamte haben nicht gesagt, dass jedes betroffene Konto all diese Datenfelder enthielt.
Nachdem der Einbruch entdeckt wurde, meldete die Seoul Facilities Corporation den Vorfall der Nationalen Polizeibehörde und der Kommission für persönlichen Informationsschutz. Die Organisation informierte die betroffenen Nutzer auch kurz nach der Identifizierung des Datenbruchs.
Eine Notfall-Taskforce wurde mit der Metropolregierung von Seoul eingerichtet, um die Schwachstellen zu untersuchen, die es den Angreifern ermöglichten, den Dienst zu kompromittieren. Beamte erklärten, die Überprüfung habe sich auf Schwachstellen im Authentifizierungssystem der Anwendung konzentriert.
Das Unternehmen verstärkte nach dem Vorfall zudem die Sicherheitskontrollen. Laut Beamten wurde das verwundbare System gepatcht, die Überwachungsmöglichkeiten verbessert und zusätzliche Sicherheitstests eingeführt, um das Risiko ähnlicher Angriffe zu verringern.
Die Behörden erklärten, sie hätten die kompromittierten Datenbanken untersucht, um festzustellen, welche Informationen für einzelne Nutzer offengelegt worden waren. Die Benachrichtigungen erklärten, welche Kategorien personenbezogener Daten betroffen sein könnten, und rieten den Kunden, auf mögliche Betrügereien achten zu bleiben.
Obwohl offengelegte persönliche Informationen für Phishing-Kampagnen oder Identitätsbetrug verwendet werden können, erklärten die Behörden in Seoul, dass sie keine Fälle bestätigt haben, in denen die gestohlenen Ttareungi-Daten missbraucht wurden. Sie erklärten auch, sie hätten keine Beweise gefunden, dass die Informationen zu kriminellen Zwecken verbreitet wurden.
Nach dem Vorfall entschuldigte sich der Präsident der Seoul Facilities Corporation, Han Kook-young, bei den Nutzern und versprach, die Sicherheit des Dienstes zu verstärken. Er sagte, die Organisation werde ihre Schutzmaßnahmen überarbeiten, damit die Bewohner Ttareungi weiterhin nutzen können, ohne sich Sorgen um ihre persönlichen Daten zu machen.
Der Betreiber riet den Nutzern außerdem, bei ungefragten Anrufen oder Textnachrichten, die angeblich vom Fahrradverleihdienst stammen, vorsichtig zu sein. Kunden wurden gebeten, keine verdächtigen Links zu öffnen oder unbekannte Anwendungen zu installieren, die bei Phishing-Angriffen eingesetzt werden könnten.
Laut südkoreanischen Medien wurden die beiden Jugendlichen, die des Einbruchs verdächtigt werden, an die Staatsanwaltschaft weitergeleitet. Die Gerichtsverfahren laufen noch, während die Behörden weiterhin auf bestätigten Missbrauch der während der Datenpanne 2024 gestohlen Daten überwachen.