Kinumpirma ng South Korea na Nalantad ang 33.67 Milyong Rekord ng mga Gumagamit ng Coupang, Nagbunsod ng Legal at Diplomatikong Presyon mula sa U.S.

Lawak ng Paglabag sa Seguridad

Kinumpirma nitong Martes ng Ministry of Science and ICT ng South Korea na nakompromiso ang 33.67 milyong rekord ng mga gumagamit sa malawakang paglabag sa seguridad ng data sa Coupang, ang nangungunang e-commerce platform sa bansa at kumpanyang nakalista sa Nasdaq. Katumbas ito ng humigit-kumulang dalawang-katlo ng 51 milyong populasyon ng South Korea, kaya isa ito sa pinakamalalaking paglabag sa seguridad ng data ng mga mamimili sa kasaysayan ng bansa at nakaapekto sa malaking bahagi ng populasyong aktibo sa digital na mundo.

Isiniwalat ng imbestigasyon na sinamantala ng isang dating empleyado ang mga kahinaan sa pagpapatotoo upang ma-access ang mga pangalan at email address ng milyun-milyong gumagamit. Bukod sa paunang impormasyon ng account, na-access ng umaatake ang mga pahina ng listahan ng mga delivery nang 148 milyong beses, na posibleng naglantad sa mga pangalan, numero ng telepono, tirahan, at maging sa mga naka-anonymize na password para sa mga pasukan ng apartment. Dahil maaaring mag-save ang mga gumagamit ng Coupang ng hanggang 20 address ng delivery sa bawat account, maaaring mas malaki pa nang husto ang aktuwal na dami ng nakompromisong datos ng lokasyon kaysa sa bilang ng mga account, at posibleng maapektuhan pati ang mga kapamilya at kakilala ng mga pangunahing may-ari ng account.

Ipinresenta ni Choi Woo-hyuk, pinuno ng tanggapan para sa patakaran sa cybersecurity at network ng ministeryo, ang mga natuklasang ito sa isang briefing ng pamahalaan sa Seoul. Halos tatlong buwan matapos unang matuklasan ng Coupang ang panghihimasok noong Nobyembre 17, 2025, inilabas ang kumpirmasyon; malaking paglala rin ito kumpara sa mga unang pahayag ng kumpanya sa publiko. Nagbunsod ng espekulasyon ang pagkaantala sa pagkumpirma sa publiko na ipinagpaliban ang anunsyo dahil sa pangambang magkaroon ng presyur sa kalakalan mula sa United States at sa mga pahayag ng mga politikong Amerikano na nagdidiskrimina ang pamahalaan ng South Korea laban sa mga kumpanya ng United States. Mariing itinanggi ng pangkat ng imbestigasyon ang mga paratang na ito.

Binigyang-diin ng pangkat ng imbestigasyon na hindi sila lumihis kailanman sa mga legal na prinsipyo at hindi nila pinakitunguhan nang naiiba ang anumang kumpanya. Sinunod nila ang mga pamantayan para sa maagap at malinaw na pagsisiwalat habang nagiging available ang mga resulta. Tugon ang pahayag na ito sa lumalaking pangamba na maaaring maimpluwensiyahan ng mga usaping diplomatiko ang kaso sa halip na mga kinakailangan sa regulasyon.

Paano Naganap ang Pag-atake

Nagmula sa loob ng organisasyon ang paglabag sa seguridad. Natukoy ng mga imbestigador ang umaatake bilang dating empleyado ng Coupang na gumawa ng software para sa pagpapatotoo ng gumagamit noong nagtrabaho siya roon. Ayon sa pagsusuri ng pamahalaan, ninakaw ng indibidwal na ito ang isang signing key mula sa sistema ng pagpapatotoo, nagsagawa ng mga paunang pagsubok ng pag-atake mula Enero 5 hanggang Enero 20, 2025, at pagkatapos ay gumamit ng mga web crawling tool upang sistematikong kumuha ng datos.

Umabot mula Abril 14 hanggang Nobyembre 8, 2025 ang panahon ng pag-atake, kaya halos pitong buwan nakapag-operate ang salarin nang hindi natutuklasan. Gamit ang ninakaw na signing key, pineke ng dating empleyado ang tinawag ng mga opisyal na elektronikong pass sa pag-access, at tuluyang nalampasan ang karaniwang mga hakbang sa pag-login. Dahil dito, nagawa niyang patuloy na ma-access ang mga serbisyo ng Coupang kahit nakaalis na siya sa kumpanya.

Isiniwalat ni Lee Dong-geun, pinuno ng Digital Threat Response Division sa Korea Internet & Security Agency, na natuklasan ng mga imbestigador na nag-imbak ang mga kasalukuyang developer ng Coupang ng mga signing key sa mga personal na laptop, salungat sa mga panloob na tuntuning nag-aatas na manatili ang mga kredensiyal na ito sa loob ng mga sistema ng pamamahala. Lumikha ang gawaing ito ng kahinaang nagbigay-daan sa paglabag sa seguridad.

Na-access ng umaatake ang pahinang Edit My Information upang makakuha ng 33,673,817 rekord na naglalaman ng mga pangalan at email address. Bukod dito, na-access ang pahina ng listahan ng mga address ng delivery nang 148.05 milyong beses, habang humigit-kumulang 100,000 hindi awtorisadong pagtingin naman ang naitala sa pahina ng listahan ng mga order. Kinumpirma ng mga imbestigador na may mga sistemang taglay ang umaatake na kayang magpadala ng datos sa mga cloud server sa ibang bansa, bagaman hindi nila matiyak kung aktuwal na naganap ang gayong paglilipat.

Hatol ng Pamahalaan

Matinding batikos ang inilabas ng mga awtoridad ng South Korea sa seguridad ng Coupang. Inilarawan ni Choi Woo-hyuk ang insidente bilang malinaw na pagkabigo sa pamamahala sa halip na sopistikadong pag-atake mula sa labas. Natukoy ng pangkat ng imbestigasyon ang malulubhang pagkukulang sa pamamahala ng sistema ng pagpapatotoo at pagkontrol sa mga signing key.

Malinaw itong pagkabigo sa pamamahala ng Coupang, hindi isang sopistikadong pag-atake. Natukoy ng pangkat ang mga pagkukulang sa pamamahala ng mga sistema ng pagpapatotoo at mga signing key.

Nadiskubre ng imbestigasyon ang ilang paglabag sa mga kinakailangan. Hindi iniulat ng Coupang ang paglabag sa loob ng itinakdang 24-oras na palugit; ipinaalam ito ng kumpanya sa mga awtoridad noong Nobyembre 19 sa halip na Nobyembre 18, gaya ng iniaatas. Higit na mabigat, umano'y nilabag ng kumpanya ang utos na magpanatili ng datos na inilabas noong Nobyembre 19. Sa kabila ng mga tagubiling panatilihin ang ebidensiya, hindi binago ng Coupang ang mga patakaran nito sa awtomatikong pag-iimbak ng log, kaya nabura ang mga web access log mula Hulyo hanggang Nobyembre 2024 at ang mga app access log mula Mayo 23 hanggang Hunyo 2, 2025.

Inihayag ng ministeryo na magpapataw ito ng mga multang administratibo dahil sa huling pag-uulat, na maaaring umabot sa 30 milyong won. Hiniling din ng mga opisyal sa mga tagapagpatupad ng batas na imbestigahan ang posibleng paghadlang sa imbestigasyon kaugnay ng pagkasira ng ebidensiya. Kailangang magsumite ngayon ang Coupang ng mga hakbang para maiwasan ang pag-ulit nito sa ministeryo bago matapos ang kasalukuyang buwan. Nakatakda namang ipatupad ang mga hakbang mula Marso hanggang Mayo, kasunod ang inspeksiyon ng pamahalaan sa Hunyo at Hulyo.

Pagtatanggol ng Coupang at ang Totoong Nangyari

Sa buong panahon ng imbestigasyon, iginiit ng Coupang na bagaman teknikal na naapektuhan ang 33.7 milyong account, limitado lamang ang aktuwal na pinsala. Ayon sa kumpanya, batay sa salaysay ng umaatake, humigit-kumulang 3,000 rekord lamang ang naimbak sa hard drive ng salarin at pagkatapos ay binura. Mariing binatikos ng mga regulator at tagapagtaguyod ng privacy ang paninindigang ito, at itinuring nilang pagtatangkang paliitin ang pinsala sa regulasyon at reputasyon.

Tuwirang kinuwestiyon ni Choi Woo-hyuk ang interpretasyong ito sa kanyang briefing. Binigyang-diin niya na sa ilalim ng mga pamantayan ng South Korea sa proteksiyon ng datos, maituturing na paglabag sa seguridad ng datos ang hindi awtorisadong pag-access sa mga pahina ng personal na impormasyon, anuman kung lokal na inimbak ang datos o ipinadala sa ibang lugar.

Hindi nangangahulugang mas mababa ang pananagutan dahil tinawag itong pag-access. Pahayag lamang ng kumpanya ang bilang na 3,000 rekord at nagsisilbi lamang itong sanggunian. Malayang sinuri namin ang lahat ng materyal. Sinuri namin ang mga server ng Coupang upang malaman kung gaano karaming datos ang na-access ng mga umaatake mula sa labas at kung gaano karami ang nailabas.

Tugon ng isang kinatawan ng Coupang sa mga natuklasan ng pamahalaan na hindi ipinapakita ng 148 milyong pag-access sa pahina ng listahan ng delivery ang lawak ng paglabag sa seguridad ng impormasyon. Ayon sa tagapagsalita, mga pagtatangka ang mga ito na mangalap ng personal na datos ng mga indibidwal na naka-link sa 33.7 milyong account, sa halip na patunay ng 148 milyong magkakahiwalay na paglabag sa seguridad ng datos. Gayunman, iginiit ng mga opisyal ng pamahalaan na ipinakikita ng napakalaking dami ng mga kahilingan sa pag-access na kaya ng umaatake na kumuha ng komprehensibong mga profile ng gumagamit.

Itinatampok ng pagkakaibang ito ang pundamental na agwat sa depinisyon ng mga korporasyon at regulator sa paglabag sa seguridad ng datos. Nakatuon ang Coupang sa kumpirmadong pag-iimbak ng datos ng umaatake, samantalang itinuturing ng mga awtoridad na insidente ng pagtagas ang anumang hindi awtorisadong pagtingin sa personal na impormasyon, lalo na kapag may kasamang ebidensiya ng mga sistemang ginawa para magpadala ng datos sa ibang bansa.

Epekto sa Ugnayang Heopolitikal at Legal na Presyur mula sa U.S.

Mula sa isang insidente ng cybersecurity sa loob ng bansa, naging mahalagang usaping bilateral sa pagitan ng South Korea at United States ang paglabag sa seguridad. Bilang kumpanyang nakalista sa United States at may malaking suporta mula sa mga Amerikanong mamumuhunan, napukaw ng Coupang ang atensiyon ng mga mambabatas ng U.S. na tumitingin sa agresibong tugon ng regulasyon ng South Korea bilang posibleng diskriminasyon laban sa isang kumpanyang Amerikano.

Humaharap si pansamantalang CEO Harold Rogers sa tumitinding legal na presyur sa magkakaibang larangan. Tinanong si Rogers ng pulisya ng South Korea nang humigit-kumulang 12 oras kaugnay ng mga paratang ng pagsisinungaling sa ilalim ng panunumpa tungkol sa kanyang testimonya sa paglabag sa seguridad. Kasabay nito, ipinatawag siya ng House Judiciary Committee ng U.S. upang tumestigo sa Pebrero 23, 2026, tungkol sa insidente. Sinusuri ng pagtatanong ng Kongreso kung nagpapataw ang mga regulator ng Korea ng di-makatarungang pasanin sa mga kumpanyang nakalista sa United States.

Sa pederal na hukuman sa New York, humihingi ng danyos na pamparusa laban sa Coupang ang isang class action lawsuit, at inaakusahan ang kumpanya ng hindi sapat na proteksiyon sa datos at mapanlinlang na pagsisiwalat tungkol sa lawak ng paglabag sa seguridad. Kinakatawan ng kasong ito ang mga mamumuhunan at gumagamit na nagsasabing nalugi sila dahil sa mga pagkukulang sa seguridad at sa kalaunang pagpapaliit ng kumpanya sa insidente.

Pribadong nagbabala ang ilang multinasyunal na kumpanyang nagpapatakbo sa Seoul na walang katulad ang pagtugon na kinasasangkutan ng maraming ahensiya ng pamahalaan, kabilang ang siyam na ahensiya at daan-daang opisyal, kung ihahambing sa pagtrato sa mga lokal na kumpanya. Binanggit nila bilang patunay ng hindi pantay na pagtrato ang paglabag sa seguridad ng SK Telecom noong 2025 na nakaapekto sa 27 milyong rekord, ngunit hindi nagbunsod ng maihahambing na mga imbestigasyon. Gayunman, mariing itinanggi ng Ministry of Science and ICT na lumihis ito sa mga legal na prinsipyo, at iginiit na kapareho lamang ng pagtrato sa anumang kumpanyang nahaharap sa katulad na mga paglabag ang natanggap ng Coupang.

Hayagang nangako si Pangulong Lee Jae-myung na gagawing pinakamainam na destinasyon ng pamumuhunan sa mundo ang South Korea. Lumilikha ito ng tensiyon sa pagitan ng pagpapakita ng mahigpit na pagpapatupad ng proteksiyon sa datos at pagpapanatili ng mga kanais-nais na kondisyon para sa dayuhang kapital. Nagsisilbi na ngayon ang kaso ng Coupang bilang pagsubok kung paano binabalanse ng Seoul ang proteksiyon sa privacy ng mga mamimili at ang mga ugnayang pangkalakalan sa ibang bansa.

Mga Bunga sa Regulasyon at Panganib sa Negosyo

Bukod sa mga agarang multa dahil sa huling pag-uulat, nahaharap ang Coupang sa matinding panganib sa regulasyon. Nagbabala ang Federal Trade Commission na posibleng suspendihin ang negosyo, isang matinding hakbang na tuluyang magpapatigil sa operasyon ng kumpanya. Nagsasagawa rin ang komisyon ng pag-audit sa buwis at nakatanggap ito ng reklamong inihain sa parlamento laban sa tagapagtatag na si Bom Kim at mga dating ehekutibo.

Nagbunsod din ang paglabag sa seguridad ng hiwalay na pagsisiwalat noong Pebrero 5, 2026, na nagbunyag ng karagdagang 165,000 nakompromisong rekord ng gumagamit. Lalo nitong pinatindi ang galit ng publiko at pinalakas ang paniniwalang minaliit ng mga paunang pagtataya ng kumpanya ang pinsala.

Ayon sa mga analyst sa industriya, nagtatakda ang kasong ito ng mga bagong pamantayan sa pagsunod sa regulasyon para sa mga platform ng mamimili sa South Korea. Ipinahihiwatig ng detalyadong rekonstruksiyon ng pamahalaan sa pag-atake, kabilang ang tiyak na bilang ng mga pag-access at pagsusuri sa mga pangyayari ayon sa panahon, na layunin nitong magtakda ng mga partikular na kinakailangan sa pagkontrol na mailalapat sa iba pang kumpanyang nagpoproseso ng malalaking dami ng personal na datos.

Nagdudulot ng kongkretong panganib sa kaligtasan ng mga gumagamit ng Coupang ang nakompromisong datos. Inilalantad ng mga address ng delivery, numero ng telepono at mga password para sa pasukan ng gusali ang mga mamimili sa posibleng pagsubaybay, pandarayang naka-target sa kanila at mga banta sa pisikal na seguridad. Hindi tulad ng paglabag sa seguridad ng mga payment card, na maaaring tugunan ng mga institusyong pampinansyal sa pamamagitan ng pagkansela at pagsubaybay, nananatiling sensitibo habambuhay ang mga address at impormasyon sa pakikipag-ugnayan. Pinalalawak ng pagkakasama sa mga datos ng mga address ng ikatlong partido, gaya ng sa mga kapamilya o kaibigang naka-save sa mga account ng gumagamit, ang bilang ng mga apektadong tao lampas sa mga direktang kostumer ng Coupang.

Mahahalagang Punto

• Kumpirmadong nalantad ang 33.67 milyong account ng gumagamit ng Coupang, na nakaapekto sa humigit-kumulang dalawang-katlo ng populasyon ng South Korea
• Ninakaw ng isang dating empleyado ang mga signing key ng pagpapatotoo at nagsagawa ng hindi awtorisadong pag-access mula Abril hanggang Nobyembre 2025
• Na-access ng umaatake ang mga pahina ng listahan ng delivery nang 148 milyong beses, na posibleng naglantad sa mga address, numero ng telepono at mga code ng pasukan ng gusali
• Inilarawan ng Ministry of Science and ICT ang insidente bilang malinaw na pagkabigo sa pamamahala at pinatawan ng puna ang Coupang dahil sa huling pag-uulat at pagsira sa ebidensiya
• Haharapin ni pansamantalang CEO Harold Rogers ang pagtatanong ng pulisya sa Korea at ang patawag ng Kongreso ng U.S. sa Pebrero 23, 2026
• Humihingi ng danyos na pamparusa ang isang class action lawsuit sa pederal na hukuman sa New York
• Nagbabala ang Federal Trade Commission na posibleng suspendihin ang negosyo at nagsasagawa ito ng pag-audit sa buwis
• Inihayag noong Pebrero 5, 2026 ang karagdagang 165,000 rekord, hiwalay sa pangunahing paglabag sa seguridad
• Kailangang magsumite ang Coupang ng mga hakbang para maiwasan ang pag-ulit nito bago matapos ang buwan; nakatakda ang inspeksiyon ng pamahalaan sa Hunyo at Hulyo