Coupang Disiasat dan Berdepan Kemungkinan Denda Trilion Won Selepas Kebocoran Data Menjejaskan 33.7 Juta Akaun

Apa yang berlaku dan mengapa ia penting

Korea Selatan digemparkan oleh kebocoran besar di Coupang, peruncit dalam talian terbesar negara itu, yang mendedahkan maklumat peribadi berkaitan kira-kira 33.7 juta akaun pelanggan. Skalanya luar biasa, melibatkan kira-kira dua pertiga penduduk negara itu. Insiden ini mencetuskan tindak balas menyeluruh daripada pejabat presiden, pengawal selia dan pihak penguat kuasa, serta sudah pun membentuk perbahasan baharu tentang cara syarikat melindungi data peribadi dalam ekonomi yang semakin digital.

Coupang berkata pihaknya mengesan akses tanpa kebenaran pada 18 November dan melaporkannya kepada pihak berkuasa. Pemeriksaan lanjut mendapati kebocoran itu berkemungkinan bermula pada 24 Jun melalui pelayan di luar negara dan berterusan selama berbulan-bulan tanpa dikesan. Syarikat itu telah memohon maaf dan bekerjasama dengan penyiasat. Coupang berkata maklumat pembayaran dan kata laluan tidak diakses, tetapi nama, alamat e-mel, nombor telefon, alamat penghantaran dan sebahagian sejarah pesanan telah terdedah.

Presiden Lee Jae Myung menyifatkan kebocoran itu sebagai amaran agar perlindungan privasi dipertingkatkan dan mengarahkan pegawai menyediakan hukuman yang lebih tegas. Di bawah Akta Perlindungan Maklumat Peribadi, syarikat yang gagal melaksanakan langkah keselamatan secukupnya boleh dikenakan denda sehingga 3 peratus daripada hasil tahunan. Bagi syarikat sebesar Coupang, had itu boleh menghampiri atau melebihi satu trilion won, bergantung pada asas hasil yang digunakan untuk pengiraan. Polis, Agensi Internet dan Keselamatan Korea (KISA) serta Suruhanjaya Perlindungan Maklumat Peribadi (PIPC) semuanya telah melancarkan siasatan, manakala pihak berkuasa memberi amaran kepada orang ramai supaya berwaspada terhadap pancingan data dan penipuan yang menyalahgunakan butiran hubungan yang bocor.

Bagaimana kebocoran itu berlaku

Pihak berkuasa berkata pencerobohan bermula melalui infrastruktur luar negara pada penghujung Jun dan berterusan sehingga dikesan pada November. Penyiasat sedang menjejaki aktiviti rangkaian dan meneliti cara sistem Coupang mengesahkan akses dalaman. Penemuan awal menunjukkan kelemahan dalam kawalan pengesahan. Menurut pegawai yang diberi taklimat tentang kes itu, kunci pengesahan yang dikaitkan dengan bekas pekerja kekal aktif selepas pekerja tersebut berhenti, sekali gus membuka ruang kepada akses maklumat pelanggan. Polis sedang menyiasat sama ada bekas pembangun, yang dilaporkan warga China dan kini berada di luar negara, menyalahgunakan kelayakan atau kunci tandatangan yang sepatutnya telah dibatalkan.

Coupang berkata pihaknya telah menyekat laluan akses itu, meningkatkan pemantauan dan mendapatkan khidmat pakar keselamatan bebas. Syarikat itu turut memaklumkan KISA, PIPC dan Agensi Polis Negara, serta menghantar pemberitahuan kepada pengguna yang terjejas. Pada masa sama, kementerian kerajaan membentuk pasukan bersama untuk menyusun kronologi kejadian dan menentukan sama ada langkah perlindungan yang diwajibkan telah dilaksanakan. Siasatan itu merangkumi semakan kemungkinan pelanggaran peraturan perlindungan maklumat peribadi.

Mengapa kunci tidak aktif berbahaya

Platform moden bergantung pada kunci dan token yang memberikan kebenaran terhad kepada mesin dan kakitangan untuk melaksanakan tugas tertentu. Jika sesuatu kunci kekal sah selepas pekerja bertukar peranan atau berhenti, ia boleh menjadi laluan mudah untuk akses tanpa kebenaran. Amalan keselamatan menetapkan akses dengan keistimewaan minimum, pembatalan segera apabila peranan berubah dan pertukaran kunci secara berkala supaya kunci tidak boleh digunakan terlalu lama. Kunci yang sah untuk tempoh panjang berisiko kerana satu kecuaian dalam pembatalan atau pemantauan boleh mendedahkan data dalam jumlah besar. Dalam kes ini, penyiasat sedang meneliti sama ada kelayakan yang masih aktif digunakan untuk bergerak secara senyap dalam sistem selama beberapa bulan.

Tindak balas kerajaan dan implikasi undang-undang

Kebocoran itu pantas beralih daripada insiden korporat kepada isu nasional. Pejabat presiden mengadakan pertemuan dengan pegawai kanan dan mengarahkan penyediaan cadangan untuk menaikkan hukuman serta memperkukuh perlindungan pengguna. Kementerian Sains dan ICT, PIPC serta polis sedang menjalankan siasatan bersama yang merangkumi forensik teknikal dan pematuhan terhadap undang-undang keselamatan data. KISA menyiarkan nasihat kepada orang ramai supaya berwaspada terhadap penipuan yang mungkin mengeksploitasi butiran hubungan dan maklumat penghantaran yang bocor.

Dalam mesyuarat kabinet, Presiden Lee mengkritik tempoh panjang antara bermulanya pencerobohan dengan saat ia dikesan. Beliau menggesa pihak bertanggungjawab diambil tindakan dengan segera dan syarikat besar mengubah pendekatan mereka terhadap keselamatan data pengguna.

Presiden Lee berkata kebocoran yang tidak dikesan selama berbulan-bulan itu tidak boleh diterima dan norma perlindungan data mesti berubah. Beliau menggesa sekatan yang lebih tegas dan tindakan lebih pantas terhadap pihak bertanggungjawab. Beliau kemudian memberi amaran lebih luas tentang budaya korporat berkaitan privasi.

Amat mengejutkan bahawa Coupang sendiri tidak mengesan kebocoran itu selama lima bulan sejak insiden tersebut bermula. Amalan yang salah dan sikap tidak memberikan perhatian sewajarnya terhadap perlindungan data peribadi, yang merupakan aset utama dalam era kecerdasan buatan dan pendigitalan, mesti diubah sepenuhnya.

Pendedahan undang-undang boleh menjadi besar. Di bawah undang-undang semasa, denda pentadbiran maksimum ialah 3 peratus daripada hasil jika pengawal selia mendapati syarikat gagal melaksanakan langkah keselamatan yang mencukupi. Coupang melaporkan jualan tahunan bernilai berpuluh-puluh bilion dolar. Denda sebanyak 3 peratus daripada asas tersebut boleh mencecah ratusan bilion won, dan berpotensi melebihi satu trilion won apabila ditukar pada kadar pertukaran terkini. Pengawal selia juga sedang meneliti peraturan ganti rugi punitif dan kemungkinan menaikkan lagi hukuman bagi pelanggaran berulang atau berskala besar.

Pasaran kewangan bertindak balas apabila skala kejadian menjadi jelas. Saham Coupang jatuh selepas polis mengesahkan skala kebocoran dan berkata mereka sedang menjejaki alamat IP serta meneliti kelemahan teknologi. Penganalisis menjangkakan jumlah pelanggan yang berhenti menggunakan perkhidmatan itu terhad kerana kedudukan kukuh Coupang dalam pasaran, tetapi memberi amaran bahawa pampasan kepada mangsa dan kemungkinan penalti boleh menyebabkan kos sekali bayar yang besar.

Maklumat yang terdedah dan cara melindungi diri

Coupang berkata data yang terdedah merangkumi butiran asas hubungan dan penghantaran serta sebahagian sejarah pesanan. Syarikat itu berkata tiada bukti bahawa nombor kad kredit, butiran bank atau kata laluan telah terjejas. Ini mengurangkan risiko serta-merta kecurian wang secara langsung, namun butiran hubungan dan alamat yang bocor bernilai kepada penipu yang mahir menyamar sebagai pihak lain.

Maklumat yang diambil

Menurut notis syarikat dan taklimat rasmi, maklumat yang terdedah termasuk:

• Nama penuh
• Alamat e-mel
• Nombor telefon bimbit dan nombor telefon lain
• Alamat penghantaran
• Sebahagian sejarah pesanan

Penjenayah boleh menggunakan gabungan maklumat itu untuk menjadikan mesej dan panggilan pancingan data kedengaran meyakinkan. Notis penghantaran palsu yang menyertakan nama dan alamat yang betul lebih berkemungkinan memperdaya orang supaya mengklik pautan berbahaya atau berkongsi butiran pembayaran. KISA menasihatkan pengguna supaya berwaspada terhadap panggilan suara, mesej teks dan e-mel yang kelihatan dihantar oleh Coupang atau perkhidmatan kurier, serta mengelakkan pautan dalam mesej yang tidak diminta.

Langkah praktikal untuk pelanggan

• Berhati-hati dengan e-mel, mesej teks atau panggilan yang tidak dijangka dan menyebut pesanan atau masalah penghantaran anda. Jangan klik pautan. Buka aplikasi atau laman web rasmi secara terus dan semak pemberitahuan di sana.
• Aktifkan pengesahan dua langkah pada akaun anda jika tersedia. Semakan log masuk yang lebih kukuh mengehadkan kesan jika maklumat lain disalahgunakan.
• Semak pesanan terkini dan aktiviti akaun untuk memastikan tiada perkara yang anda tidak kenali. Laporkan apa-apa yang mencurigakan kepada khidmat pelanggan.
• Berwaspada terhadap permintaan bayaran untuk menyelesaikan masalah penghantaran. Platform bereputasi tidak meminta butiran kad melalui mesej teks atau telefon.
• Pertimbangkan untuk menggunakan pengurus kata laluan dan kata laluan unik bagi setiap perkhidmatan. Ini mengurangkan risiko penggunaan semula kata laluan merentas laman.
• Jika anda percaya identiti anda sedang disalahgunakan, buat aduan kepada pihak berkuasa dan minta dokumentasi daripada syarikat untuk sebarang laporan yang diperlukan.

Coupang berkata pihaknya sedang memaklumkan pengguna yang terjejas dan telah menyekat laluan akses yang membolehkan pencerobohan itu. Syarikat itu juga telah memperkukuh pemantauan dalaman dan mendapatkan bantuan pakar bebas untuk mengurus tindak balas serta pemulihan.

Kesan terhadap perniagaan Coupang dan pasaran beli-belah dalam talian

Coupang ialah gergasi peruncitan Korea dengan hampir 25 juta pengguna aktif dalam suku terkini. Syarikat itu telah berkembang ke bidang penghantaran barangan runcit dengan pantas, logistik dan penstriman, serta mengendalikan perkhidmatan di Jepun dan Taiwan. Syarikat itu berkata tiada bukti data daripada unitnya di Taiwan atau perkhidmatan gabungan lain di luar Korea Selatan terjejas. Namun, kesan dalam negara amat serius kerana kebocoran itu menjejaskan begitu banyak isi rumah.

Pelabur pada awalnya menurunkan nilai saham apabila skala kebocoran diketahui umum dan polis membuka siasatan rasmi. Kesan serta-merta terhadap hasil mungkin terhad jika kebanyakan pelanggan kekal, tetapi kos menangani insiden itu, kemungkinan pampasan dan sebarang penalti boleh menjadi besar. Jika pengawal selia mengenakan kadar maksimum, denda sahaja boleh menghampiri satu trilion won, bergantung pada asas hasil yang digunakan.

Kejadian ini turut berlaku dalam tahun yang menyaksikan beberapa insiden siber berprofil tinggi di Korea Selatan. Dalam kes berasingan, SK Telecom berdepan penalti besar selepas kebocoran yang menjejaskan puluhan juta pelanggan. Satu lagi kes melibatkan Lotte Card menunjukkan bagaimana penjenayah menyasarkan syarikat yang menyimpan banyak data identiti dan pembelian. Kes-kes tersebut berlaku sebelum kebocoran Coupang dan mewujudkan suasana yang lebih tegas bagi tindakan pengawalseliaan.

Mengapa kebocoran besar terus berulang di Korea Selatan

Terdapat corak yang menggabungkan penyimpanan data berskala besar, sistem dalaman yang kompleks dan tekanan untuk bergerak pantas dalam pasaran dalam talian yang kompetitif. Apabila syarikat bergantung pada ramai pembangun dalaman dan luaran serta menggunakan pelbagai perkhidmatan yang saling berhubung, pemantauan boleh menjadi longgar. Kunci dan token boleh terkumpul dan gagal luput mengikut jadual. Akses juga mungkin tidak sentiasa dihadkan kepada tahap minimum yang diperlukan. Dalam keadaan sedemikian, satu kunci yang tidak dibatalkan atau pelayan yang tersalah konfigurasi boleh membuka laluan jelas kepada penyerang.

Pegawai berkata kebocoran besar yang berulang sejak 2021 menunjukkan kelemahan struktur dalam perlindungan maklumat peribadi. PIPC baru-baru ini mengenakan denda rekod terhadap sebuah syarikat telekomunikasi selepas kebocoran yang tidak disedari selama bertahun-tahun. Dalam kes Coupang, penyiasat sedang menilai sama ada tadbir urus dalaman dan kawalan akses tidak memadai walaupun perbelanjaan besar telah dibuat untuk keselamatan dan teknologi maklumat. Wakil industri berhujah bahawa perbelanjaan sahaja tidak menjamin perlindungan kukuh jika pertukaran kunci, disiplin audit dan pengurusan kitar hayat kelayakan tidak dikuatkuasakan dalam operasi harian.

Kerajaan telah mengarahkan semakan terhadap ganti rugi punitif dan penalti, menandakan tekanan untuk perubahan yang melangkaui satu syarikat. Platform lain telah mula melakukan pemeriksaan dan audit keselamatan dalaman. Perbincangan kini meliputi pasukan kejuruteraan rentas sempadan, penyetempatan data dan sama ada syarikat yang mempunyai hab pembangunan di luar negara memerlukan kawalan lebih ketat apabila mengendalikan data pengguna tempatan.

Peraturan yang terpakai kepada syarikat dan kemungkinan perubahan seterusnya

Di bawah Akta Perlindungan Maklumat Peribadi, syarikat mesti melindungi data peribadi dengan langkah teknikal dan pentadbiran yang sesuai. Kegagalan yang menyebabkan kebocoran boleh mencetuskan arahan pembetulan, denda pentadbiran dan tuntutan ganti rugi. Had denda ialah 3 peratus daripada hasil, dan cadangan baharu boleh meningkatkan liabiliti jika berlaku kemudaratan serius atau kecuaian berulang. Pihak berkuasa juga sedang menilai sama ada perlu mengetatkan tempoh pelaporan, meningkatkan ujian wajib bagi kawalan akses dan mewajibkan bukti lebih kukuh tentang pengurusan kunci serta penamatan akses apabila kakitangan berhenti atau bertukar peranan.

Bagi platform besar, pengajarannya jelas walaupun pelaksanaannya sukar. Kunci dan token perlu mempunyai tempoh sah yang singkat. Akses perlu dihadkan kepada tahap keistimewaan minimum yang diperlukan. Akses perlu ditamatkan secara automatik dan serta-merta apabila peranan berubah. Sistem amaran dan pengesanan perlu menandakan pertanyaan luar biasa terhadap pangkalan data pengguna. Ujian dalaman berkala oleh pasukan merah dan semakan bebas boleh membantu mengenal pasti kelemahan yang terlepas pandang. Pengawal selia berkemungkinan menjangkakan kemajuan nyata dalam perkara asas ini sebagai sebahagian daripada sebarang pelan pemulihan.

Berdasarkan penemuan semasa, risiko segera kepada pengguna tertumpu pada penipuan bersasar, bukannya kecurian langsung data pembayaran. Namun, hal ini masih boleh menyebabkan kemudaratan sebenar, khususnya kepada mereka yang bergantung pada mesej penghantaran dan pemberitahuan mudah alih dalam kehidupan seharian. Gabungan nama, alamat dan butiran pesanan terkini yang tepat boleh menjadi umpan yang meyakinkan. Pendidikan pengguna dan langkah pengesahan mudah dalam aplikasi boleh mengurangkan serangan tersebut jika pengguna tahu perkara yang perlu diperhatikan.

Ringkasnya

• Kira-kira 33.7 juta akaun pelanggan Coupang terdedah, menjadikannya kebocoran terbesar di Korea Selatan dalam lebih sedekad.
• Data yang bocor merangkumi nama, alamat e-mel, nombor telefon, alamat penghantaran dan sebahagian sejarah pesanan. Menurut syarikat, butiran pembayaran dan kata laluan tidak terlibat.
• Akses tanpa kebenaran dipercayai bermula pada 24 Jun dan dikesan pada 18 November.
• Pihak berkuasa sedang menyiasat kelemahan pengesahan dan sama ada bekas pekerja menggunakan kunci akses yang masih aktif.
• Presiden Lee Jae Myung mengarahkan hukuman lebih tegas dan tindakan lebih pantas terhadap pihak bertanggungjawab, serta menyifatkan kelewatan berbulan-bulan untuk mengesan kebocoran itu sebagai mengejutkan.
• Pengawal selia boleh mengenakan denda sehingga 3 peratus daripada hasil di bawah undang-undang semasa, yang boleh mencecah ratusan bilion won atau lebih.
• KISA mengeluarkan nasihat kepada orang ramai tentang cubaan pancingan data dan penipuan yang mungkin mengeksploitasi data hubungan yang bocor.
• Polis, KISA dan PIPC melancarkan siasatan bersama, manakala Coupang berkata pihaknya telah menyekat laluan akses dan mendapatkan khidmat pakar luar.
• Firma guaman sedang membuat persiapan untuk tindakan saman berkumpulan, dan penganalisis menjangkakan kos sekali bayar yang besar bagi pampasan serta sebarang penalti.
• Kes ini menambah kepada siri kebocoran besar di Korea Selatan tahun ini dan berkemungkinan mempercepat perubahan peraturan mengenai perlindungan data dan kawalan akses dalaman.