Pencerobohan Coupang di Korea Selatan dedah 33.7 juta akaun pelanggan

Apa yang berlaku dan mengapa ia penting

Coupang, platform e-dagang terbesar di Korea Selatan, mendedahkan kebocoran data besar-besaran yang menjejaskan maklumat peribadi berkaitan 33.7 juta akaun pelanggan. Penyiasat berkata akses tanpa kebenaran itu berkemungkinan bermula pada Jun melalui pelayan yang terletak di luar negara dan tidak dikesan selama berbulan-bulan. Skala pencerobohan ini melibatkan lebih separuh penduduk negara itu, sekali gus mendedahkan pembeli harian, keluarga dan perniagaan kecil kepada kemungkinan cubaan penipuan yang sering menyusuli kebocoran data peribadi berskala besar.

Syarikat itu berkata maklumat yang terdedah termasuk nama, nombor telefon bimbit, alamat e-mel, alamat penghantaran dan butiran beberapa pesanan terdahulu. Ia berkata data kad pembayaran, maklumat bank dan kelayakan log masuk tidak diakses. Walaupun tiada butiran kewangan, gabungan maklumat untuk dihubungi dengan sejarah pesanan boleh mendorong penipuan meyakinkan yang menyamar sebagai kakitangan khidmat pelanggan atau pemberitahuan penghantaran. Pelanggan dinasihatkan supaya berwaspada terhadap panggilan, mesej teks atau e-mel yang meminta kod, kata laluan atau butiran pembayaran.

Coupang memohon maaf dan melaporkan insiden itu kepada pihak berkuasa tidak lama selepas mengesan akses luar biasa yang menjejaskan sebilangan kecil akaun pada pertengahan November. Angka awal kira-kira 4,500 akaun yang terjejas meningkat dengan pantas apabila penyiasat memperluas skop siasatan. Polis sedang menyiasat kemungkinan bekas pekerja yang kini berada di luar negara memainkan peranan. Pengawal selia sedang meneliti sama ada Coupang melanggar peraturan perlindungan data dan memberi isyarat bahawa penalti akan dikenakan jika kegagalan pematuhan disahkan.

Bagaimana pencerobohan berlaku

Menurut syarikat dan pegawai kerajaan, pencerobohan itu melibatkan maklumat peribadi berkaitan penghantaran dan dipercayai berpunca daripada akses melalui pelayan luar negara sejak akhir Jun. Coupang mengenal pasti aktiviti luar biasa pada 18 November, kemudian memaklumkan pihak berkuasa dalam tempoh dua hari. Selepas menyekat laluan yang disyaki dan memperketat pemantauan dalaman, syarikat itu memulakan siasatan bersama pakar keselamatan dan penguat kuasa undang-undang. Apabila kerja forensik berjalan, jumlah akaun terjejas meningkat kepada puluhan juta.

Pihak berkuasa berkata kelemahan dalam kaedah pengesahan pelayan tertentu mungkin telah dieksploitasi, sekali gus membolehkan pihak luar mengeluarkan data berulang kali tanpa mencetuskan amaran serta-merta. Kemungkinan itu, bersama petunjuk bahawa pelaku mempunyai pengetahuan dalaman tentang sistem, kini menjadi tumpuan utama siasatan. Kerajaan mengadakan mesyuarat tergempar dan membentuk pasukan gabungan sektor awam dan swasta bagi menyelaraskan analisis teknikal, bantuan kepada mangsa dan tindakan pengawalseliaan.

Maklumat yang terdedah dan risikonya

Set data itu dilaporkan merangkumi butiran peribadi harian yang dikongsi orang ramai untuk menerima penghantaran: nama, nombor telefon bimbit, alamat e-mel, alamat penghantaran dan sebahagian sejarah pesanan. Nombor kad pembayaran, maklumat bank dan kata laluan tidak disertakan. Perbezaan itu penting dari segi risiko kewangan serta-merta, namun maklumat yang terdedah masih boleh digunakan untuk kejuruteraan sosial. Penipu boleh menyamar sebagai peruncit, rakan kongsi logistik atau bank, kemudian mendesak sasaran supaya mendedahkan kod sekali guna atau memasang perisian hasad.

Pancingan data melalui mesej teks, yang sering dipanggil smishing, ialah ancaman susulan lazim selepas kebocoran besar. Penyerang menggunakan kemas kini penghantaran atau makluman akaun yang kelihatan meyakinkan untuk mengarahkan orang ramai ke halaman log masuk palsu atau mendapatkan kod sekali guna bagi mengambil alih akaun. Butiran pesanan menjadikan umpan itu lebih meyakinkan. Pelanggan harus berhati-hati dengan mesej dan panggilan yang tidak dijangka, khususnya jika meminta bayaran, kod atau akses jauh kepada peranti.

Walaupun Coupang berkata tiada kata laluan dicuri, penjenayah kerap cuba menetapkan semula kata laluan menggunakan butiran hubungan yang bocor. Berwaspada terhadap permintaan tetapan semula kata laluan atau pengesahan yang tidak diminta, dan sahkan perubahan hanya melalui aplikasi atau laman web rasmi, bukan pautan dalam mesej. Aktifkan pengesahan dua faktor jika tersedia. Semak pesanan terkini dan alamat penghantaran tersimpan untuk mengesan sebarang perubahan yang tidak anda lakukan.

Siapa yang mungkin bertanggungjawab

Polis telah mengenal pasti seorang suspek yang merupakan bekas pekerja dan warga asing, menurut pegawai yang mengetahui siasatan itu. Individu berkenaan dilaporkan telah meninggalkan negara itu. Penyiasat sedang meneliti sama ada individu itu mengeksploitasi kelemahan dalam pengesahan pelayan atau mengekalkan akses selepas berhenti kerja. Pengetahuan dalaman boleh memudahkan seseorang mencari titik lemah, khususnya jika log sistem dan hak akses tidak dikawal dengan ketat.

Risiko orang dalam bukan hanya melibatkan niat jahat. Kesilapan, token sistem yang tidak dinyahaktifkan dan proses penamatan akses yang lambat boleh mendedahkan laluan data yang kemudian dieksploitasi oleh penyerang luar. Kawalan akses yang kukuh, penggantian dan pembatalan kelayakan akses, pengelogan berterusan serta pemantauan tingkah laku amat penting untuk mengurangkan risiko ini. Pengawal selia menegaskan betapa seriusnya pencerobohan itu dan berjanji akan bertindak segera.

Kementerian Sains dan ICT, yang menangani pendedahan butiran hubungan berjuta-juta rakyat, menetapkan jangkaan bagi siasatan itu.

Ia berkata siasatan segera akan dijalankan dan sekatan tegas akan dikenakan jika pelanggaran didapati berlaku.

Tindakan pihak berkuasa dan Coupang

Kerajaan melancarkan siasatan rasmi dalam beberapa hari selepas laporan awal dan mengatur pasukan tindak balas bersama agensi penguatkuasaan undang-undang serta teknikal. Suruhanjaya Perlindungan Maklumat Peribadi sedang meneliti sama ada peraturan perlindungan data telah dilanggar. Coupang berkata ia telah menyekat laluan akses itu, meningkatkan pemantauan dalaman dan memberikan kerjasama penuh. Syarikat itu menggesa pelanggan supaya berwaspada terhadap cubaan penyamaran dan menggunakan saluran komunikasi rasmi.

Skala kebocoran ini mengatasi insiden besar awal tahun ini di sebuah pengendali mudah alih terkemuka, yang menjejaskan lebih 23 juta pengguna dan membawa kepada denda tertinggi pernah dikenakan. Pengawal selia memberi isyarat bahawa penalti akan dikenakan dengan tegas jika kawalan didapati tidak memadai. Pihak berkuasa juga sedang menilai sama ada panduan industri mengenai keselamatan pelayan, penamatan akses pekerja dan pengesahan akses perlu diperkukuh.

Mengapa pensijilan gagal mencegah perkara ini

Coupang memegang ISMS P, pensijilan kebangsaan bagi keselamatan maklumat dan perlindungan data peribadi. Syarikat itu memperoleh pensijilan tersebut pada 2021 dan memperbaharuinya pada 2024. Walaupun begitu, beberapa insiden telah direkodkan sejak 2020 dan syarikat itu pernah didenda atas pelanggaran terdahulu. Hal ini menggiatkan perdebatan lebih luas tentang jaminan sebenar yang diberikan oleh pensijilan. Audit ISMS P memberi tumpuan kepada dasar, proses dan kawalan yang didokumenkan, tetapi pensijilan bukan jaminan bahawa kegagalan masa nyata, kesilapan manusia atau penyalahgunaan oleh orang dalam tidak akan berlaku.

Pengkritik berpendapat audit mungkin lebih menekankan pematuhan di atas kertas berbanding bukti kukuh bahawa kawalan berfungsi dalam keadaan tertekan. Platform kompleks bergantung pada rangkaian perkhidmatan mikro yang luas, integrasi pihak ketiga dan pasukan besar. Gambaran risiko boleh berubah dengan pantas. Kitaran pensijilan yang berkala dan berpandukan senarai semak mungkin terlepas kelemahan praktikal yang hanya muncul dalam sistem sebenar, contohnya token akses yang kekal aktif terlalu lama, kelemahan pengesahan pelayan atau korelasi log yang tidak lengkap merentas persekitaran.

Amalan di bidang kuasa lain memberi gambaran tentang kaitan antara penalti dan pencegahan. Peraturan Perlindungan Data Am Kesatuan Eropah (GDPR) mewajibkan perlindungan privasi sejak peringkat reka bentuk dan pelaporan kebocoran dalam tempoh 72 jam, serta membenarkan denda sehingga 4 peratus daripada pendapatan global. Di Amerika Syarikat, Suruhanjaya Perdagangan Persekutuan mengenakan penalti besar terhadap firma yang mengendalikan data pengguna secara cuai atau mengelirukan pengguna. Jepun memperketat peraturan di bawah Akta Perlindungan Maklumat Peribadi selepas beberapa insiden berprofil tinggi, dengan menambah peraturan akses dalaman dan audit yang lebih ketat. Sistem Korea Selatan secara meluas dianggap tegas, namun insiden besar yang berulang menunjukkan bahawa penguatkuasaan, pemantauan dan pencegahan masih perlu seiring dengan kaedah serangan yang berubah pantas serta risiko orang dalam.

Perbandingan dengan kebocoran data terdahulu di Korea

Korea Selatan pernah berdepan beberapa pencerobohan besar sepanjang dua dekad lalu. Pada 2011, penggodam mencuri data daripada kira-kira 35 juta akaun di sebuah rangkaian sosial dan portal utama. Pada 2014, syarikat kad kredit kehilangan puluhan juta rekod yang merangkumi nombor pengenalan penduduk dan butiran kad. Kes terdahulu turut menjejaskan pasaran dalam talian dan syarikat tenaga, manakala dalam beberapa tahun kebelakangan ini pengendali mudah alih juga melaporkan kebocoran. Insiden baru-baru ini di sebuah penyedia telekomunikasi terkemuka menjejaskan lebih 23 juta pengguna dan membawa kepada penalti terbesar setakat ini atas pelanggaran undang-undang maklumat peribadi.

Kes Coupang menonjol kerana skalanya dan peranan bekas orang dalam yang disyaki. Ia juga berlaku selepas beberapa insiden lebih kecil di syarikat itu, sekali gus menguatkan kebimbangan orang ramai tentang sama ada janji untuk meningkatkan keselamatan benar-benar dilaksanakan. Gabungan skala, tempoh dan pengetahuan orang dalam tentang sistem merupakan ujian berat terhadap tadbir urus korporat dan rangka kerja perlindungan data negara.

Langkah yang boleh diambil pelanggan sekarang

Coupang berkata tiada bukti bahawa data pembayaran atau kata laluan terdedah. Walaupun begitu, kebocoran besar sering membawa kepada penipuan yang mengeksploitasi nama, nombor telefon, alamat dan butiran pesanan. Beberapa langkah mudah boleh mengurangkan risiko dan membantu anda bertindak pantas jika menjadi sasaran.

• Berhati-hati dengan panggilan, mesej teks dan e-mel yang tidak diminta, khususnya jika meminta bayaran, kod sekali guna atau butiran akaun.
• Jangan klik pautan dalam mesej penghantaran atau akaun. Buka aplikasi rasmi atau taip sendiri alamat laman web.
• Aktifkan pengesahan dua faktor untuk akaun anda jika tersedia.
• Pantau sejarah akaun dan senarai alamat penghantaran untuk mengesan perubahan yang tidak anda lakukan.
• Gunakan pengurus kata laluan dan elakkan penggunaan semula kata laluan untuk akaun beli-belah, e-mel dan perbankan.
• Berwaspada terhadap permintaan memasang perisian bantuan jauh pada telefon atau komputer anda.
• Hubungi khidmat pelanggan melalui aplikasi atau laman web rasmi jika menerima mesej mencurigakan yang mendakwa daripada syarikat itu.

Jika anda percaya data anda sedang disalahgunakan, laporkan kepada pihak berkuasa dan pengendali mudah alih anda. Simpan tangkap layar mesej mencurigakan dan catat masa serta nombor telefon. Pelaporan segera membantu penyiasat mengenal pasti pola lebih luas serta menyekat domain dan nombor berniat jahat.

Kesan terhadap perniagaan dan pasaran

Kebocoran besar sering membawa kos yang jauh melangkaui kerja pemulihan teknikal. Syarikat membelanjakan wang untuk forensik, perkhidmatan perlindungan identiti, reka bentuk semula sistem dan khidmat pelanggan, selain berdepan tindakan pengawalseliaan serta tuntutan undang-undang. Kesan terhadap reputasi boleh berpanjangan, khususnya bagi platform yang bergantung pada pembelian berulang dan kesetiaan pelanggan terhadap jenama. Tuntutan supaya pihak bertanggungjawab dikenakan tindakan semakin meningkat, dan pihak berkuasa perlindungan data berkata mereka akan mempertimbangkan sekatan jika jurang pematuhan terbukti.

Coupang disenaraikan di Amerika Syarikat dan beroperasi pada skala nasional di Korea Selatan, maka ia berdepan penelitian daripada pelbagai pengawal selia dan pelabur. Pemfailan dan taklimat akan datang berkemungkinan memberi tumpuan kepada perubahan dalam pengurusan akses, pembatalan kelayakan akses, pengesahan pelayan, korelasi log dan tadbir urus integrasi pihak ketiga. Pelaburan berterusan dalam tenaga kerja, proses dan teknologi diperlukan untuk membina semula kepercayaan serta mengurangkan kemungkinan kegagalan berlarutan selama berbulan-bulan sebelum dikesan.

Perkara penting

• Maklumat peribadi daripada 33.7 juta akaun pelanggan Coupang telah terdedah.
• Data yang bocor merangkumi nama, nombor telefon bimbit, alamat e-mel, alamat penghantaran dan sebahagian sejarah pesanan.
• Tiada data kad pembayaran, butiran bank atau kata laluan log masuk ditemui dalam set data yang terdedah.
• Akses tanpa kebenaran berkemungkinan bermula pada Jun dan tidak dikesan sehingga pertengahan November.
• Pihak berkuasa sedang menyiasat seorang bekas pekerja yang disyaki dan telah mengadakan pasukan tindak balas tergempar.
• Kementerian Sains dan ICT memberi amaran bahawa sekatan tegas akan dikenakan jika pelanggaran undang-undang perlindungan data disahkan.
• Coupang berkata laluan akses telah disekat dan pemantauan dalaman diperkukuh.
• Pelanggan dinasihatkan supaya berwaspada terhadap panggilan telefon, mesej teks dan e-mel yang menyamar sebagai syarikat itu.
• Kes ini menggiatkan perdebatan tentang keberkesanan pensijilan keselamatan negara seperti ISMS P.
• Kebocoran ini mengatasi insiden baru-baru ini di firma besar lain dan merupakan antara yang terbesar dilaporkan di Korea Selatan.