Nahaharap ang Coupang sa Imbestigasyon at Posibleng Multang Umaabot sa Trilyong Won Matapos Malantad ang Datos ng 33.7 Milyon

Ano ang nangyari at bakit ito mahalaga

Nayanig ang South Korea dahil sa malaking paglabag sa seguridad sa Coupang, ang pinakamalaking online retailer ng bansa, na naglantad ng personal na impormasyong kaugnay ng humigit-kumulang 33.7 milyong customer account. Pambihira ang lawak nito, at tinatayang dalawang-katlo ng populasyon ng bansa ang apektado. Nagbunsod ang insidente ng malawakang pagtugon mula sa panguluhan, mga regulator at tagapagpatupad ng batas, at hinuhubog na nito ang panibagong debate tungkol sa pangangalaga ng mga kumpanya sa personal na datos sa isang ekonomiyang mabilis na nagiging digital.

Ayon sa Coupang, natukoy nito ang hindi awtorisadong pag-access noong Nobyembre 18 at iniulat ito sa mga awtoridad. Sa mga sumunod na pagsusuri, lumitaw na malamang na nagsimula ang paglabag noong Hunyo 24 sa pamamagitan ng mga server na nasa ibang bansa at nagpatuloy nang ilang buwan nang hindi napapansin. Humingi ng paumanhin ang kumpanya at nakikipagtulungan ito sa mga imbestigador. Sinabi ng Coupang na hindi na-access ang mga detalye ng pagbabayad at password, ngunit nalantad ang mga pangalan, email address, numero ng telepono, address ng paghahatiran at ilang rekord ng order.

Tinawag ni Pangulong Lee Jae Myung na babala para sa pangangalaga ng privacy ang paglabag at inatasan ang mga opisyal na maghanda ng mas mahihigpit na parusa. Sa ilalim ng Personal Information Protection Act, maaaring pagmultahin nang hanggang 3 porsiyento ng taunang kita ang mga kumpanyang hindi nagpapatupad ng sapat na hakbang sa seguridad. Para sa kumpanyang kasinglaki ng Coupang, maaaring umabot o lumampas sa isang trilyong won ang pinakamataas na multa, depende sa gagamiting batayan ng kita sa pagkukuwenta. Naglunsad na ng mga imbestigasyon ang pulisya, ang Korea Internet and Security Agency (KISA) at ang Personal Information Protection Commission (PIPC). Nagbabala rin ang mga awtoridad sa publiko na mag-ingat sa phishing at mga panlolokong gumagamit sa mga nakuhang detalye sa pakikipag-ugnayan.

Kung paano naganap ang paglabag

Ayon sa mga awtoridad, nagsimula ang pagpasok sa mga sistema sa pamamagitan ng imprastraktura sa ibang bansa noong huling bahagi ng Hunyo at nagpatuloy ito hanggang sa matuklasan noong Nobyembre. Sinusuri ng mga imbestigador ang aktibidad sa network at kung paano pinatutunayan ng mga sistema ng Coupang ang mga panloob na pag-access. Itinuturo ng mga paunang natuklasan ang mga kahinaan sa mga kontrol sa pagpapatunay ng pagkakakilanlan. Ayon sa mga opisyal na binigyan ng paliwanag tungkol sa kaso, nanatiling aktibo ang isang authentication key na kaugnay ng dating empleyado matapos itong umalis, kaya nagkaroon ng pagkakataong ma-access ang impormasyon ng mga customer. Sinisiyasat ng pulisya kung inabuso ng isang dating developer, na iniulat na mamamayang Tsino at kasalukuyang nasa ibang bansa, ang mga kredensiyal o signature key na dapat sana ay binawi na.

Ayon sa Coupang, isinara na nito ang ginamit na paraan ng pag-access, pinalawak ang pagmamanman at kumuha ng mga independiyenteng eksperto sa seguridad. Ipinaalam din ng kumpanya ang insidente sa KISA, PIPC at National Police Agency, at nagpapadala ito ng mga abiso sa mga apektadong gumagamit. Samantala, bumuo ang mga ministeryo ng pamahalaan ng pinagsamang pangkat upang buuin ang sunod-sunod na pangyayari at tukuyin kung naipatupad ang mga kinakailangang pananggalang. Kasama sa imbestigasyon ang pagsusuri kung may mga nilabag na tuntunin sa pangangalaga ng personal na impormasyon.

Bakit mapanganib ang mga hindi na ginagamit na key

Umaasa ang mga makabagong platform sa mga key at token na nagbibigay sa mga makina at kawani ng limitadong pahintulot para magsagawa ng partikular na mga gawain. Kung mananatiling balido ang isang key matapos magpalit ng tungkulin o umalis ang isang empleyado, maaari itong maging madaling gamiting susi para sa hindi awtorisadong pag-access. Itinatakda ng mabuting kasanayan sa seguridad ang pagbibigay lamang ng pinakamababang kinakailangang pahintulot, agarang pagbawi ng access kapag nagbabago ang mga tungkulin, at madalas na pagpapalit ng mga key upang hindi magamit nang matagal. Mapanganib ang mga key na matagal ang bisa dahil maaaring maglantad ng napakaraming datos ang iisang pagkukulang sa pagbawi o pagmamanman. Sa kasong ito, sinusuri ng mga imbestigador kung ginamit ang mga kredensiyal na hindi nabawi upang palihim na makapasok sa iba’t ibang bahagi ng mga sistema sa loob ng ilang buwan.

Pagtugon ng pamahalaan at mga legal na implikasyon

Mabilis na naging pambansang usapin ang paglabag na nagsimula bilang insidente sa isang kumpanya. Nagpatawag ang panguluhan ng matataas na opisyal at nag-utos na magmungkahi ng mas mabibigat na parusa at mas matibay na proteksiyon sa mga mamimili. Nagsasagawa ang Ministry of Science and ICT, PIPC at pulisya ng pinagsamang imbestigasyon na sumasaklaw sa teknikal na pagsusuri at pagsunod sa mga batas sa kaligtasan ng datos. Naglabas ang KISA ng mga pampublikong paalala na nagbababala sa mga mamamayan na mag-ingat sa mga panlolokong maaaring gumamit sa mga nakuhang detalye sa pakikipag-ugnayan at impormasyon sa paghahatid.

Sa pulong ng gabinete, pinuna ni Pangulong Lee ang mahabang panahong lumipas mula nang magsimula ang pagpasok sa mga sistema hanggang sa matuklasan ito. Hinimok niya ang mabilis na paniningil ng pananagutan at pagbabago sa paraan ng pagbibigay-priyoridad ng malalaking kumpanya sa kaligtasan ng datos ng mga gumagamit.

Sinabi ni Pangulong Lee na hindi katanggap-tanggap ang paglabag na hindi napansin sa loob ng ilang buwan at kailangang magbago ang mga pamantayan sa pagprotekta ng datos. Nanawagan siya ng mas mabibigat na parusa at mas mabilis na pagpapanagot. Nagbabala rin siya tungkol sa mas malawak na kultura ng mga kumpanya hinggil sa privacy.

Kamangha-mangha na hindi man lang natukoy ng Coupang ang paglabag sa loob ng limang buwan mula nang magsimula ang insidente. Kailangang lubusang magbago ang maling gawi at ang kaisipang hindi kailangang pag-ukulan ng sapat na pag-iingat ang proteksiyon sa personal na datos, na isang mahalagang yaman sa panahon ng artificial intelligence at digitalisasyon.

Maaaring malaki ang legal na pananagutan ng kumpanya. Sa ilalim ng kasalukuyang batas, maaaring umabot sa 3 porsiyento ng kita ang pinakamataas na multang administratibo kung mapag-alaman ng mga regulator na hindi nagpatupad ng sapat na hakbang sa seguridad ang kumpanya. Nag-uulat ang Coupang ng taunang benta na umaabot sa sampu-sampung bilyong dolyar. Maaaring umabot sa daan-daang bilyong won ang multang katumbas ng 3 porsiyento ng ganoong halaga, at posibleng lumampas pa sa isang trilyong won kapag kinuwenta gamit ang kamakailang halaga ng palitan. Sinusuri rin ng mga regulator ang mga tuntunin sa danyos na parusa at kung dapat pang taasan ang mga multa para sa mga paulit-ulit o malawakang pagkukulang.

Tumugon ang mga pamilihang pinansiyal nang luminaw ang lawak ng insidente. Bumagsak ang mga bahagi ng Coupang matapos kumpirmahin ng pulisya ang laki ng paglabag at sabihing sinusubaybayan nito ang mga IP address at sinusuri ang mga kahinaan sa teknolohiya. Inaasahan ng mga analyst na limitado ang pag-alis ng mga customer dahil sa matatag na posisyon ng Coupang sa merkado, ngunit nagbabala silang maaaring magdulot ng malalaking minsanang gastos ang kabayaran sa mga biktima at mga posibleng multa.

Anong impormasyon ang nalantad at kung paano protektahan ang sarili

Ayon sa Coupang, kabilang sa nalantad na datos ang mga pangunahing detalye sa pakikipag-ugnayan at paghahatid, gayundin ang ilang rekord ng order. Sinabi ng kumpanya na wala itong ebidensiyang nakompromiso ang mga numero ng credit card, detalye ng bank account o password. Nababawasan nito ang agarang panganib ng direktang pagnanakaw ng pera, ngunit mahalaga sa mga manlolokong bihasa sa pagpapanggap ang mga nakuhang detalye sa pakikipag-ugnayan at address.

Anong impormasyon ang nakuha

Ayon sa mga abiso ng kumpanya at opisyal na paliwanag, kabilang sa mga nalantad na detalye ang:

• Buong pangalan
• Email address
• Numero ng mobile at iba pang telepono
• Address ng paghahatiran
• Ilang bahagi ng rekord ng order

Maaaring gamitin ng mga kriminal ang pinagsamang impormasyong ito upang magmukhang kapani-paniwala ang mga mensahe at tawag sa phishing. Mas madaling malinlang ang mga tao ng pekeng abiso sa paghahatid na naglalaman ng kanilang pangalan at tamang address, at mapindot ang mapaminsalang link o maibigay ang mga detalye sa pagbabayad. Pinayuhan ng KISA ang mga mamimili na mag-ingat sa mga tawag, text at email na mukhang mula sa Coupang o mga serbisyo ng courier, at huwag pindutin ang mga link sa mga mensaheng hindi nila hiniling.

Mga praktikal na hakbang para sa mga customer

• Mag-ingat sa mga hindi inaasahang email, text o tawag na bumabanggit sa iyong mga order o problema sa paghahatid. Huwag pindutin ang mga link. Direktang buksan ang opisyal na app o website at doon tingnan ang mga abiso.
• I-on ang dalawang-hakbang na beripikasyon sa iyong mga account kung mayroon nito. Nakababawas sa pinsala ng maling paggamit ng iba pang impormasyon ang mas mahihigpit na pagsusuri sa pag-log in.
• Suriin ang mga kamakailang order at aktibidad sa account kung may hindi mo nakikilala. Iulat sa suporta sa customer ang anumang kahina-hinala.
• Mag-ingat sa mga kahilingang magbayad upang maresolba ang problema sa paghahatid. Hindi humihingi ng mga detalye ng card sa text o telepono ang mga mapagkakatiwalaang platform.
• Pag-isipang gumamit ng password manager at natatanging password para sa bawat serbisyo. Nababawasan nito ang panganib ng muling paggamit ng password sa iba’t ibang site.
• Kung sa palagay mo ay may umaabuso sa iyong pagkakakilanlan, magsampa ng reklamo sa mga awtoridad at humingi sa kumpanya ng dokumentasyong maaaring kailanganin sa mga ulat.

Sinabi ng Coupang na inaabisuhan nito ang mga apektadong gumagamit at isinara na ang paraang nagbigay-daan sa pagpasok sa mga sistema. Pinalakas din ng kumpanya ang panloob na pagmamanman at kumuha ng mga independiyenteng eksperto upang tumulong sa pagtugon at pag-aayos ng problema.

Epekto sa negosyo ng Coupang at sa pamilihan ng online shopping

Higante ang Coupang sa Koreanong retail, na may halos 25 milyong aktibong gumagamit nitong mga nakaraang quarter. Pinalawak nito ang negosyo sa mabilis na paghahatid ng mga grocery, logistics at streaming, at nagpapatakbo rin ito ng mga serbisyo sa Japan at Taiwan. Ayon sa kumpanya, walang ebidensiyang naapektuhan ang datos mula sa sangay nito sa Taiwan o sa iba pang kaugnay na serbisyo sa labas ng South Korea. Gayunman, mabigat ang epekto sa loob ng bansa dahil napakaraming sambahayan ang naapektuhan ng paglabag.

Sa una, bumaba ang presyo ng mga bahagi ng kumpanya nang maging publiko ang lawak ng paglabag at magbukas ang pulisya ng pormal na imbestigasyon. Maaaring limitado ang agarang epekto sa kita kung mananatili ang karamihan sa mga customer, ngunit maaaring malaki ang gastos sa pagharap sa insidente, posibleng kabayaran at anumang multa. Kung ipapataw ng mga regulator ang pinakamataas na porsiyento, maaaring umabot sa antas na halos isang trilyong won ang multa, depende sa gagamiting batayan ng kita.

Naganap din ang insidente sa gitna ng isang taong maraming naging kapansin-pansing insidente sa cyber security sa South Korea. Sa hiwalay na kaso, naharap ang SK Telecom sa malaking multa matapos ang pagtagas ng datos na nakaapekto sa sampu-sampung milyong subscriber. Ipinakita naman sa isa pang kaso sa Lotte Card kung paano tinatarget ng mga kriminal ang mga kumpanyang nagtataglay ng maraming datos tungkol sa pagkakakilanlan at mga binili. Nauna ang mga kasong iyon sa paglabag sa Coupang at naglatag ng mas mahigpit na kapaligiran para sa pagpapatupad ng mga regulasyon.

Bakit paulit-ulit ang malalaking paglabag sa South Korea

May paulit-ulit na padron na pinagsasama ang malalaking imbakan ng datos, masalimuot na panloob na sistema at matinding presyur na kumilos nang mabilis sa mapagkumpitensiyang online market. Kapag umaasa ang isang kumpanya sa maraming panloob at panlabas na developer at gumagamit ng sari-saring serbisyong nag-uugnayan, maaaring humina ang pangangasiwa. Maaaring dumami ang mga key at token at hindi mapaso sa takdang panahon. Hindi rin palaging nalilimitahan ang pag-access sa pinakamababang kinakailangan. Sa ganitong sitwasyon, maaaring magbigay ng malinaw na daan sa isang umaatake ang iisang key na hindi nabawi o server na mali ang pagkakaayos.

Sinabi ng mga opisyal na ipinakikita ng mga paulit-ulit at malawakang pagtagas mula 2021 ang mga malalim na kahinaan sa pangangalaga ng personal na impormasyon. Kamakailan ay nagpataw ang PIPC ng rekord na multa sa isang operator ng telekomunikasyon matapos ang paglabag na hindi napansin nang ilang taon. Sa kaso ng Coupang, sinusuri ng mga imbestigador kung nagkulang ang panloob na pamamahala at mga kontrol sa pag-access sa kabila ng malaking paggasta sa seguridad at IT. Ayon sa mga kinatawan ng industriya, hindi sapat ang paggasta lamang upang matiyak ang matibay na proteksiyon kung hindi ipinapatupad araw-araw ang pagpapalit ng mga key, mahigpit na pag-audit at pamamahala sa buong siklo ng buhay ng mga kredensiyal.

Nag-utos ang pamahalaan na suriin ang mga danyos na parusa at multa, na nagpapahiwatig ng pagtulak sa mga pagbabagong lalampas sa iisang kumpanya. Nagsimula na ang ibang mga platform ng panloob na pagsusuri at pag-audit sa seguridad. Lumawak na ang usapan upang isama ang mga pangkat ng engineering sa iba’t ibang bansa, lokalisasyon ng datos at kung kailangan ng mas mahihigpit na kontrol ang mga kumpanyang may mga sentro ng pagpapaunlad sa ibang bansa kapag humahawak ng datos ng mga lokal na gumagamit.

Anong mga tuntunin ang umiiral para sa mga kumpanya at ano ang maaaring magbago

Sa ilalim ng Personal Information Protection Act, kailangang pangalagaan ng mga kumpanya ang personal na datos sa pamamagitan ng angkop na teknikal at administratibong mga hakbang. Maaaring magbunga ng mga utos na magwasto, multang administratibo at paghahabol ng danyos ang mga pagkukulang na humahantong sa pagtagas ng datos. Nakatakda sa 3 porsiyento ng kita ang pinakamataas na multa, at maaaring magpataas ng pananagutan ang mga bagong panukala kapag malubha ang pinsala o paulit-ulit ang kapabayaan. Sinusuri rin ng mga awtoridad kung dapat paikliin ang mga takdang panahon sa pag-uulat, dagdagan ang sapilitang pagsusuri sa mga kontrol sa pag-access, at hingin ang mas matibay na patunay ng wastong pamamahala sa mga key at pagbawi ng access kapag umaalis o nagpapalit ng tungkulin ang mga kawani.

Malinaw ang mga aral para sa malalaking platform, kahit mahirap isagawa ang mga ito. Dapat maikli ang bisa ng mga key at token. Dapat limitado ang access sa pinakamababang kinakailangan. Dapat awtomatiko at agaran ang pagbawi ng access kapag nagbabago ang mga tungkulin. Dapat matukoy ng mga sistema ng alerto at pagtuklas ang mga di-pangkaraniwang paghahanap sa mga database ng gumagamit. Makakatulong ang pana-panahong pagsusuri ng mga panloob na red team at mga independiyenteng pagsusuri upang matukoy ang mga hindi napapansing kahinaan. Malamang na asahan ng mga regulator ang malinaw na pag-usad sa mga pangunahing hakbang na ito bilang bahagi ng anumang plano sa pagwawasto.

Batay sa kasalukuyang mga natuklasan, nakasentro ang agarang panganib para sa mga gumagamit sa mga naka-target na panloloko, hindi sa direktang pagnanakaw ng datos sa pagbabayad. Maaari pa rin itong magdulot ng tunay na pinsala, lalo na sa mga taong umaasa sa mga mensahe tungkol sa paghahatid at mga abiso sa mobile sa araw-araw. Kapag pinagsama ang tamang pangalan, address at detalye ng kamakailang order, nagiging kapani-paniwala ang pang-akit. Makababawas sa mga ganitong pag-atake ang edukasyon ng mga mamimili at mga simpleng hakbang sa beripikasyon sa app kung alam ng mga gumagamit ang dapat bantayan.

Sa Buod

• Nalantad ang humigit-kumulang 33.7 milyong customer account ng Coupang, ang pinakamalaking paglabag sa datos sa South Korea sa mahigit isang dekada.
• Kabilang sa nakuhang datos ang mga pangalan, email address, numero ng telepono, address ng paghahatiran at ilang rekord ng order. Ayon sa kumpanya, hindi kasama rito ang mga detalye ng pagbabayad at password.
• Pinaniniwalaang nagsimula ang hindi awtorisadong pag-access noong Hunyo 24 at natukoy ito noong Nobyembre 18.
• Iniimbestigahan ng mga awtoridad ang mga kahinaan sa pagpapatunay ng pagkakakilanlan at kung gumamit ng mga natirang access key ang isang dating empleyado.
• Ipinag-utos ni Pangulong Lee Jae Myung ang mas mabibigat na parusa at mas mabilis na pagpapanagot. Tinawag niyang kamangha-mangha ang agwat na ilang buwan bago natuklasan ang paglabag.
• Maaaring magpataw ang mga regulator ng multang hanggang 3 porsiyento ng kita sa ilalim ng kasalukuyang batas, na maaaring umabot sa daan-daang bilyong won o higit pa.
• Naglabas ang KISA ng mga pampublikong paalala tungkol sa phishing at mga panlolokong maaaring gumamit sa nakuhang datos sa pakikipag-ugnayan.
• Naglunsad ng pinagsamang imbestigasyon ang pulisya, KISA at PIPC. Ayon sa Coupang, isinara na nito ang ginamit na paraan ng pag-access at kumuha ng mga panlabas na eksperto.
• Naghahanda ang mga law firm ng mga class action lawsuit, at inaasahan ng mga analyst na malaki ang minsanang gastos dahil sa mga kabayaran at posibleng multa.
• Dagdag ang kasong ito sa sunod-sunod na malalaking paglabag sa South Korea ngayong taon at malamang na magpapabilis ng mga pagbabago sa regulasyon sa pangangalaga ng datos at mga panloob na kontrol sa pag-access.