3ProTV admite acesso ilegal ao app: 460 mil registros e dados bancários expostos

O incidente é de confirmação sólida: a própria operadora, a E-Broadcasting, publicou aviso oficial no site da 3ProTV, notificou os dois órgãos regulatórios competentes (PIPC e KISA) e o CEO gravou vídeo público de pedido de desculpas. Não se trata de alegação de ator externo ou de dados circulando em fórum underground — é autodivulgação corporativa, o nível mais alto de evidência disponível antes de uma decisão regulatória.

A 3ProTV não é uma emissora de TV convencional: é um canal financeiro do YouTube fundado em 2018, com 4,5 milhões de inscritos, que também opera um aplicativo pago com conteúdo premium de investimentos. São os usuários desse aplicativo — não os assinantes do YouTube — os afetados. Esse detalhe importa: quem assina o app tende a ser investidor ativo que forneceu dados bancários para pagamento de serviços. O perfil é de alto valor para fraude financeira.

A empresa estima 460 mil registros expostos. O número é da própria E-Broadcasting e ainda não foi auditado de forma independente; a empresa o classifica como estimativa ('추산'), não como contagem definitiva. Dentro desse total, os subconjuntos mais sensíveis são: 2.979 registros de contas bancárias (banco, número de conta, nome do titular) e 317 registros de cartões de crédito (mascarados). A empresa afirmou que não coletava número de previdência social, o que, se verdadeiro, é um fator de mitigação — mas a presença de dados bancários e de cartão já é suficiente para fraude financeira direta.

O vetor técnico permanece não divulgado. A empresa descreveu o acesso como 'acesso ilegal ao aplicativo por ator externo que acessou maliciosamente dados de outros usuários' — linguagem que descreve o resultado, não o método. Isso é compatível com múltiplas hipóteses: exploração de falha na API do app, credential stuffing usando credenciais vazadas de outros serviços, ou vulnerabilidade de autorização que permitia a um usuário acessar dados de outros. Nenhuma dessas hipóteses foi confirmada publicamente. A empresa disse ter bloqueado o IP e o vetor de acesso após a detecção — o que sugere que o acesso continuou por algum tempo antes de ser identificado.

Não há reivindicação pública de autoria. A ausência de reivindicação é notável: grupos de ransomware e extorsão tipicamente se identificam para maximizar pressão. A falta de reivindicação sugere um ator motivado por uso direto dos dados (fraude bancária, golpes de investimento) ou por venda discreta em mercados underground — não por visibilidade. A própria empresa alertou os usuários para o risco específico de golpes por impersonação da 3ProTV oferecendo grupos de sinais de investimento ('리딩방'), o que indica que a empresa tem hipótese operacional sobre o uso pretendido dos dados.

Do ponto de vista regulatório, o caso ocorre em momento relevante: uma emenda ao PIPA sul-coreano que eleva o teto de multas administrativas de 3% para 10% da receita total entra em vigor em 11 de setembro de 2026 — poucos dias após este incidente. A E-Broadcasting notificou dentro do prazo legal, o que pode ser considerado atenuante, mas a extensão da investigação da PIPC e eventual multa ainda são incógnitas.

Aproximadamente 460 mil usuários do aplicativo 3ProTV tiveram dados pessoais expostos, incluindo nome, telefone, email, endereço e registros de uso do serviço. Um subconjunto de 2.979 usuários teve dados bancários completos (banco, número de conta, nome do titular) expostos; 317 tiveram dados de cartão de crédito (mascarados) comprometidos. O risco imediato mais concreto é fraude financeira e golpes de impersonação — a empresa alertou explicitamente sobre contatos fraudulentos se passando pela 3ProTV para induzir investimentos ou adesão a grupos pagos de sinais. Usuários do YouTube que nunca usaram o aplicativo pago não foram afetados. A E-Broadcasting comprometeu-se a divulgar plano de reparação até 31 de agosto de 2026.