Inilantad ng data breach sa Coupang ng South Korea ang 33.7 milyong customer account

Ano ang nangyari at bakit ito mahalaga

Isiniwalat ng Coupang, ang pinakamalaking e-commerce platform sa South Korea, ang malawakang paglabag sa seguridad ng datos na naglantad sa personal na impormasyon na kaugnay ng 33.7 milyong customer account. Ayon sa mga imbestigador, malamang na nagsimula ang hindi awtorisadong pag-access noong Hunyo sa pamamagitan ng mga server na nasa labas ng bansa at hindi ito natukoy sa loob ng ilang buwan. Mahigit kalahati ng populasyon ng bansa ang saklaw nito, kaya nalalagay sa panganib ang mga mamimiling namimili araw-araw, mga pamilya, at maliliit na negosyo dahil sa mga posibleng pagtatangkang manloko na madalas sumunod sa malawakang pagtagas ng personal na datos.

Ayon sa kumpanya, kabilang sa nalantad na impormasyon ang mga pangalan, numero ng cellphone, email address, address ng paghahatiran, at detalye ng ilang nakaraang order. Sinabi nitong hindi na-access ang datos ng mga payment card, impormasyon sa bangko, at mga kredensyal sa pag-login. Kahit walang detalye sa pananalapi, maaaring gamitin ang pinagsamang impormasyon sa pakikipag-ugnayan at kasaysayan ng mga order para makapagsagawa ng kapani-paniwalang panloloko, gaya ng pagpapanggap bilang kawani ng customer support o pagpapadala ng pekeng abiso sa paghahatid. Hinimok ang mga customer na mag-ingat sa mga tawag, text, o email na humihingi ng mga code, password, o detalye sa pagbabayad.

Humingi ng paumanhin ang Coupang at iniulat ang insidente sa mga awtoridad di-nagtagal matapos matukoy ang hindi pangkaraniwang pag-access na nakaapekto sa maliit na bilang ng account noong kalagitnaan ng Nobyembre. Mabilis na lumaki ang unang bilang na humigit-kumulang 4,500 nakompromisong account nang palawakin ng mga imbestigador ang saklaw ng pagsisiyasat. Sinusuri ng pulisya ang posibilidad na may kinalaman dito ang isang dating empleyadong nasa labas na ngayon ng bansa. Inaalam naman ng mga regulator kung nilabag ng Coupang ang mga patakaran sa proteksiyon ng datos, at nagbabala silang may mga parusang ipapataw kung mapatunayang nagkaroon ng pagkukulang sa pagsunod sa mga ito.

Paano naganap ang paglabag sa seguridad

Ayon sa kumpanya at mga opisyal ng gobyerno, kinasangkutan ng paglabag ang personal na impormasyong may kaugnayan sa paghahatid at malamang na nagmula ito sa pag-access sa pamamagitan ng mga server sa ibang bansa mula pa noong huling bahagi ng Hunyo. Natukoy ng Coupang ang kahina-hinalang aktibidad noong Nobyembre 18, saka nag-abiso sa mga awtoridad sa loob ng dalawang araw. Matapos harangin ang pinaghihinalaang ruta ng pag-access at higpitan ang panloob na pagsubaybay, nagsimula ang kumpanya ng magkasamang imbestigasyon kasama ang mga eksperto sa seguridad at tagapagpatupad ng batas. Habang umuusad ang pagsusuring teknikal, umabot sa sampu-sampung milyon ang bilang ng mga apektadong account.

Ayon sa mga awtoridad, maaaring sinamantala ang kahinaan sa paraan ng beripikasyon sa ilang server, na posibleng nagbigay-daan sa isang tagalabas na paulit-ulit na kumuha ng datos nang hindi agad nagti-trigger ng mga alarma. Pangunahing pokus na ngayon ng imbestigasyon ang posibilidad na ito, kasama ng mga palatandaang pamilyar ang isang tagaloob sa mga sistema. Nagpatawag ang gobyerno ng emergency meeting at bumuo ng pangkat mula sa pampubliko at pribadong sektor upang pagtugmain ang teknikal na pagsusuri, suporta sa mga biktima, at aksiyon ng mga regulator.

Anong impormasyon ang nalantad at anu-ano ang panganib

Ayon sa mga ulat, kabilang sa set ng datos ang karaniwang personal na impormasyong ibinabahagi ng mga tao para makatanggap ng mga delivery: pangalan, numero ng cellphone, email address, address ng paghahatiran, at bahagi ng kasaysayan ng mga order. Hindi kabilang dito ang mga numero ng payment card, impormasyon sa bangko, at mga password. Mahalaga ang pagkakaibang ito pagdating sa agarang panganib sa pananalapi, pero maaari pa ring gamitin ang nalantad na impormasyon sa panlilinlang sa pamamagitan ng manipulasyon. Maaaring magpanggap ang mga manloloko bilang retailer, kompanya ng paghahatid, o maging bangko, saka pilitin ang mga puntirya nilang isiwalat ang mga minsanang code o mag-install ng malware.

Karaniwang kasunod ng malawakang pagtagas ng datos ang phishing sa text message, na madalas tawaging smishing. Gumagamit ang mga umaatake ng kapani-paniwalang mga update sa delivery o abiso tungkol sa account para akitin ang mga tao sa pekeng login page o makuha ang mga minsanang code na magagamit sa pag-agaw ng account. Dahil sa dagdag na detalye ng mga order, mas nagiging kapani-paniwala ang mga patibong. Dapat mag-ingat ang mga customer sa mga hindi inaasahang mensahe at tawag, lalo na kung humihingi ang mga ito ng bayad, code, o malayuang access sa isang device.

Bagama't sinabi ng Coupang na walang ninakaw na password, madalas subukan ng mga kriminal na mag-reset ng password gamit ang mga nalantad na detalye sa pakikipag-ugnayan. Mag-ingat sa mga hindi hinihinging abiso tungkol sa pag-reset ng password o pagbeberipika, at tiyakin lamang ang mga pagbabago sa opisyal na app o website, hindi sa pamamagitan ng link sa mensahe. I-enable ang two-factor authentication kung mayroon nito. Suriin ang mga kamakailang order at naka-save na address ng paghahatiran kung may mga pagbabagong hindi ninyo ginawa.

Sino ang maaaring nasa likod nito

Natukoy ng pulisya ang isang suspek na dating empleyado at dayuhan, ayon sa mga opisyal na may kaalaman sa imbestigasyon. Iniulat na umalis na ng bansa ang indibidwal. Sinusuri ng mga imbestigador kung sinamantala ng taong ito ang puwang sa beripikasyon ng mga server o napanatili ang access matapos umalis sa trabaho. Mas madaling matukoy ang mga kahinaan dahil sa kaalaman ng isang tagaloob, lalo na kung hindi mahigpit na kinokontrol ang mga system log at pribilehiyo sa pag-access.

Hindi lamang masamang intensiyon ang saklaw ng panganib mula sa mga tagaloob. Maaari ring maglantad ng mga daluyan ng datos ang mga pagkakamali, naiwan na system token, at mabagal na proseso sa pag-alis ng access ng dating empleyado, na maaari namang samantalahin ng mga umaatakeng tagalabas. Mahalaga ang mahigpit na kontrol sa pag-access, pagpapalit at pagbawi ng mga kredensyal, tuloy-tuloy na pag-log, at pagsubaybay sa gawi upang mabawasan ang panganib na ito. Binigyang-diin ng mga regulator ang bigat ng paglabag at nangakong kikilos sila agad.

Naglatag ng inaasahan para sa imbestigasyon ang Ministry of Science and ICT kaugnay ng pagkakalantad ng mga detalye sa pakikipag-ugnayan ng milyun-milyong mamamayan.

Sinabi nitong magsasagawa ng mabilis na imbestigasyon at magpapataw ng mahihigpit na parusa kung may makitang mga paglabag.

Paano tumugon ang mga awtoridad at Coupang

Naglunsad ang gobyerno ng pormal na imbestigasyon ilang araw matapos ang unang ulat at nag-organisa ng pinagsamang pangkat-tugon kasama ang mga ahensiya ng tagapagpatupad ng batas at teknikal na ahensiya. Sinusuri ng Personal Information Protection Commission kung nilabag ang mga patakaran sa proteksiyon ng datos. Ayon sa Coupang, hinarang nito ang ruta ng pag-access, pinaigting ang panloob na pagsubaybay, at lubos itong nakikipagtulungan sa imbestigasyon. Hinimok ng kumpanya ang mga customer na mag-ingat sa mga pagtatangkang magpanggap bilang kinatawan nito at umasa lamang sa mga opisyal na channel ng komunikasyon.

Mas malaki ang paglabag na ito kaysa sa malalaking insidenteng naganap sa isang nangungunang mobile operator noong unang bahagi ng taong ito, na nakaapekto sa mahigit 23 milyong user at humantong sa pinakamalaking multang naitala. Nagbabala ang mga regulator na magiging mahigpit ang mga parusa kung mapatunayang hindi sapat ang mga kontrol. Sinusuri rin ng mga awtoridad kung kailangan pang palakasin ang mga gabay ng industriya sa seguridad ng server, pagbawi ng access sa mga dating empleyado, at beripikasyon ng pag-access.

Bakit hindi ito napigilan ng sertipikasyon

May hawak ang Coupang na ISMS P, ang pambansang sertipikasyon para sa seguridad ng impormasyon at proteksiyon ng personal na datos. Nakuha ng kumpanya ang sertipikasyon noong 2021 at ni-renew ito noong 2024. Gayunman, ilang insidente na ang naitala nito mula 2020, at pinagmulta na rin ito dahil sa mga naunang paglabag. Pinalalim nito ang mas malawak na debate tungkol sa tunay na ginagarantiya ng sertipikasyon. Nakatuon ang mga audit ng ISMS P sa mga nakadokumentong patakaran, proseso, at kontrol, pero hindi garantiya ang sertipikasyon laban sa mga aktuwal na pagkabigo sa sistema, pagkakamali ng tao, o pang-aabuso ng tagaloob.

Ikinakatuwiran ng mga kritiko na maaaring mas bigyang-diin ng mga audit ang pagsunod sa mga dokumento kaysa sa matibay na patunay na gumagana ang mga kontrol kapag sinusubok. Umaasa ang mga kumplikadong platform sa malalawak na microservice, integrasyon sa mga third party, at malalaking pangkat. Mabilis magbago ang larawan ng panganib. Maaaring hindi mapansin sa mga pana-panahon at checklist-based na siklo ng sertipikasyon ang mga praktikal na kahinaang lumilitaw lamang sa mga aktuwal na sistema, gaya ng mga access token na matagal manatiling aktibo, puwang sa pagpapatotoo ng server, o hindi kumpletong pagtutugma ng mga log sa iba't ibang kapaligiran.

Makapagbibigay ng konteksto ang mga patakaran sa ibang hurisdiksiyon tungkol sa ugnayan ng mga parusa at pag-iwas sa mga insidente. Inaatasan ng General Data Protection Regulation (GDPR) ng European Union ang paglalagay ng proteksiyon sa pribasiya sa disenyo pa lamang at pag-uulat ng paglabag sa loob ng 72 oras, at pinahihintulutan nito ang mga multang aabot sa 4 porsiyento ng pandaigdigang kita. Sa Estados Unidos, nagpataw ang Federal Trade Commission ng malalaking multa sa mga kumpanyang nagkamali sa pangangasiwa ng datos ng user o nanlinlang sa mga mamimili. Hinigpitan ng Japan ang mga patakaran sa ilalim ng Act on the Protection of Personal Information matapos ang ilang matitinding insidente, kabilang ang mas mahigpit na mga tuntunin sa panloob na pag-access at mga audit. Malawak na itinuturing na mahigpit ang sistema ng South Korea, ngunit ipinakikita ng paulit-ulit na malalaking insidente na kailangan pa ring makasabay ang pagpapatupad, pagsubaybay, at pag-iwas sa mabilis na pagbabago ng mga paraan ng pag-atake at panganib mula sa mga tagaloob.

Paghahambing sa mga nakaraang pagtagas ng datos sa Korea

Nakaharap ang South Korea sa ilang malalaking paglabag sa seguridad ng datos sa nakalipas na dalawang dekada. Noong 2011, ninakaw ng mga hacker ang datos mula sa humigit-kumulang 35 milyong account sa isang malaking social network at portal. Noong 2014, nawalan ang mga kompanya ng credit card ng sampu-sampung milyong rekord na may kasamang mga numero ng pagkakakilanlan ng residente at detalye ng card. Naapektuhan ng mga naunang kaso ang mga online marketplace at kompanya ng enerhiya, at nitong mga nakaraang taon ay nag-ulat din ng mga paglabag ang mga mobile carrier. Naapektuhan ng isang kamakailang insidente sa isang nangungunang telecom provider ang mahigit 23 milyong user at nagbunga ng pinakamalaking parusa sa ngayon para sa mga paglabag sa mga batas tungkol sa personal na impormasyon.

Natatangi ang kaso ng Coupang dahil sa laki nito at sa pinaghihinalaang papel ng isang dating tagaloob. Naganap din ito matapos ang sunod-sunod na mas maliliit na aberya sa kumpanya, na lalong nagpapabigat sa pangamba ng publiko kung naipatupad na nga ba ang mga pangakong pagbutihin ang seguridad. Matinding pagsubok ito sa pamamahala ng kumpanya at sa pambansang balangkas ng proteksiyon ng datos dahil sa laki at tagal ng paglabag, gayundin sa pamilyaridad ng pinaghihinalaan sa mga sistema.

Ano ang maaaring gawin ng mga customer ngayon

Ayon sa Coupang, walang ebidensiyang nalantad ang datos sa pagbabayad o mga password. Gayunman, madalas humantong ang malawakang pagtagas ng datos sa mga panlolokong gumagamit ng mga pangalan, numero ng telepono, address, at detalye ng order. Makababawas sa panganib at makatutulong sa mabilis na pagtugon kung puntiryahin kayo ang ilang simpleng hakbang.

• Mag-ingat sa mga hindi hinihinging tawag, text, at email, lalo na kung humihingi ang mga ito ng bayad, minsanang code, o detalye ng account.
• Huwag mag-click ng mga link sa mga mensahe tungkol sa delivery o account. Buksan ang opisyal na app o ikaw mismo ang mag-type ng address ng website.
• I-enable ang two-factor authentication sa mga account kung mayroon nito.
• Subaybayan ang kasaysayan ng account at talaan ng mga address ng paghahatiran kung may mga pagbabagong hindi ninyo ginawa.
• Gumamit ng password manager at iwasang gamitin muli ang mga password sa pamimili, email, at pagbabangko.
• Mag-ingat sa mga kahilingang mag-install ng remote assistance software sa inyong cellphone o computer.
• Makipag-ugnayan sa customer support sa pamamagitan ng opisyal na app o website kung makatanggap kayo ng kahina-hinalang mensaheng nagsasabing mula ito sa kumpanya.

Kung naniniwala kayong may umaabuso sa inyong datos, iulat ito sa mga awtoridad at sa inyong mobile operator. Magtabi ng mga screenshot ng mga kahina-hinalang mensahe at itala ang mga oras at numero ng telepono. Makakatulong ang mabilis na pag-uulat sa mga imbestigador na matukoy ang mas malawak na mga padron at harangin ang mga mapaminsalang domain at numero.

Epekto sa negosyo at merkado

Madalas magdulot ng mga gastusing higit pa sa teknikal na pag-aayos ang malalaking paglabag sa seguridad. Gumagastos ang mga kumpanya sa pagsusuring teknikal, mga serbisyo sa proteksiyon ng pagkakakilanlan, muling pagdisenyo ng mga sistema, at suporta sa customer, habang hinaharap din ang aksiyon ng mga regulator at mga legal na paghahabol. Maaaring magtagal ang epekto sa reputasyon, lalo na para sa mga platform na umaasa sa paulit-ulit na pagbili at matibay na katapatan sa tatak. Dumarami na ang mga panawagan para managot ang kumpanya, at sinabi ng mga awtoridad sa proteksiyon ng datos na isasaalang-alang nila ang mga parusa kung mapatunayang may mga pagkukulang sa pagsunod sa mga patakaran.

Nakalista ang Coupang sa Estados Unidos at malawakan ang operasyon nito sa South Korea, kaya sinusuri ito ng maraming regulator at investor. Malamang na pagtuunan ng mga susunod na pagsasampa ng ulat at briefing ang mga pagbabago sa pamamahala ng pag-access, pagbawi ng mga kredensyal, beripikasyon ng server, pagtutugma ng mga log, at pangangasiwa sa mga integrasyon ng third party. Kailangan ang tuloy-tuloy na pamumuhunan sa mga tao, proseso, at teknolohiya upang maibalik ang tiwala at mabawasan ang posibilidad na tumagal nang ilang buwan ang isang pagkabigo bago ito matuklasan.

Mga dapat malaman

• Nalantad ang personal na impormasyon mula sa 33.7 milyong customer account ng Coupang.
• Kabilang sa mga tumagas na datos ang mga pangalan, numero ng cellphone, email address, address ng paghahatiran, at ilang kasaysayan ng order.
• Walang nakitang datos ng payment card, detalye ng bangko, o password sa pag-login sa nalantad na datos.
• Malamang na nagsimula ang hindi awtorisadong pag-access noong Hunyo at hindi ito natukoy hanggang kalagitnaan ng Nobyembre.
• Iniimbestigahan ng mga awtoridad ang isang pinaghihinalaang dating empleyado at nagpatawag sila ng emergency response team.
• Nagbabala ang Ministry of Science and ICT na magpapataw ng mahihigpit na parusa kung makukumpirma ang mga paglabag sa mga batas sa proteksiyon ng datos.
• Ayon sa Coupang, naharang na ang ruta ng pag-access at pinaigting na ang panloob na pagsubaybay.
• Pinayuhan ang mga customer na mag-ingat sa mga tawag, text, at email na nagpapanggap na mula sa kumpanya.
• Pinalalim ng kaso ang debate tungkol sa bisa ng mga pambansang sertipikasyon sa seguridad gaya ng ISMS P.
• Mas malaki ang paglabag na ito kaysa sa mga kamakailang insidente sa iba pang malalaking kumpanya at isa ito sa pinakamalaki sa mga iniulat sa South Korea.