Skala Pencerobohan
Kementerian Sains dan ICT Korea Selatan mengesahkan pada Selasa bahawa 33.67 juta rekod pengguna terjejas dalam kebocoran data besar-besaran di Coupang, platform e-dagang dominan di negara itu dan sebuah syarikat yang disenaraikan di Nasdaq. Angka itu bersamaan kira-kira dua pertiga daripada populasi Korea Selatan seramai 51 juta orang, menjadikannya antara kebocoran data pengguna terbesar dalam sejarah negara itu dan menjejaskan sebahagian besar penduduk yang aktif secara digital.
Kandungan
Siasatan mendapati seorang bekas pekerja mengeksploitasi kelemahan pengesahan untuk mengakses nama dan alamat e-mel jutaan pengguna. Selain maklumat akaun asas, penyerang mengakses halaman senarai penghantaran sebanyak 148 juta kali, yang berpotensi mendedahkan nama, nombor telefon, alamat fizikal dan malah kata laluan pintu masuk pangsapuri yang telah dinyahkenal pasti. Oleh sebab Coupang membenarkan pengguna menyimpan sehingga 20 alamat penghantaran bagi setiap akaun, jumlah sebenar data lokasi yang terjejas mungkin jauh melebihi bilangan akaun asas, sekali gus berpotensi menjejaskan ahli keluarga dan kenalan pemegang akaun utama.
Choi Woo-hyuk, yang mengetuai pejabat dasar keselamatan siber dan rangkaian kementerian itu, membentangkan dapatan tersebut dalam taklimat kerajaan di Seoul. Pengesahan itu dibuat hampir tiga bulan selepas Coupang mula-mula mengesan pencerobohan pada 17 November 2025, dan menandakan peningkatan ketara berbanding kenyataan awal syarikat kepada umum. Kelewatan mengesahkan perkara itu kepada umum mencetuskan spekulasi bahawa pengumuman tersebut ditangguhkan kerana kebimbangan terhadap tekanan perdagangan dari Amerika Syarikat dan dakwaan ahli politik Amerika bahawa kerajaan Korea Selatan mendiskriminasi syarikat A.S., tuduhan yang dinafikan sekeras-kerasnya oleh pasukan penyiasat.
Pasukan penyiasat menegaskan bahawa mereka tidak pernah menyimpang daripada prinsip undang-undang dan tidak memberikan layanan berbeza kepada mana-mana syarikat, sebaliknya mematuhi piawaian pendedahan segera dan telus apabila hasil siasatan diperoleh. Kenyataan itu menjawab kebimbangan yang semakin meningkat bahawa kes berkenaan mungkin dipengaruhi pertimbangan diplomatik, bukannya keperluan kawal selia.
Bagaimana Serangan Berlaku
Kebocoran itu berpunca dari dalam organisasi. Penyiasat mengenal pasti penyerang sebagai bekas pekerja Coupang yang membangunkan perisian pengesahan pengguna semasa berkhidmat di syarikat itu. Menurut analisis kerajaan, individu tersebut mencuri kunci tandatangan daripada sistem pengesahan, menjalankan ujian awal serangan antara 5 Januari hingga 20 Januari 2025, kemudian menggunakan alat perangkak web untuk mengekstrak data secara sistematik.
Tempoh serangan berlangsung dari 14 April hingga 8 November 2025, membolehkan pelaku beroperasi tanpa dikesan selama hampir tujuh bulan. Dengan menggunakan kunci tandatangan yang dicuri, bekas pekerja itu memalsukan apa yang disifatkan pegawai sebagai pas akses elektronik, sekali gus memintas sepenuhnya prosedur log masuk biasa. Kaedah ini membolehkannya terus mengakses perkhidmatan Coupang walaupun selepas meninggalkan syarikat.
Lee Dong-geun, ketua Bahagian Tindak Balas Ancaman Digital di Agensi Keselamatan dan Internet Korea, mendedahkan bahawa penyiasat mendapati pembangun Coupang yang masih bekerja di situ menyimpan kunci tandatangan pada komputer riba peribadi, bertentangan dengan peraturan dalaman yang mewajibkan kelayakan tersebut disimpan dalam sistem pengurusan. Amalan ini mewujudkan kelemahan yang memungkinkan kebocoran itu berlaku.
Penyerang mengakses halaman Edit Maklumat Saya untuk mendapatkan 33,673,817 rekod yang mengandungi nama dan alamat e-mel. Selain itu, halaman senarai alamat penghantaran diakses sebanyak 148.05 juta kali, manakala halaman senarai pesanan menerima kira-kira 100,000 akses tanpa kebenaran. Penyiasat mengesahkan penyerang memiliki sistem yang mampu menghantar data ke pelayan awan di luar negara, namun mereka tidak dapat memastikan sama ada pemindahan sedemikian benar-benar berlaku.
Dapatan Kerajaan
Pihak berkuasa Korea Selatan mengeluarkan penilaian keras terhadap tahap keselamatan Coupang. Choi Woo-hyuk menyifatkan kejadian itu sebagai kegagalan pengurusan yang jelas, bukannya serangan luar yang canggih. Pasukan penyiasat mengenal pasti kelemahan kritikal dalam pengurusan sistem pengesahan dan kawalan kunci tandatangan.
Ini ialah kegagalan pengurusan yang jelas oleh Coupang, bukannya serangan yang canggih. Pasukan penyiasat mengenal pasti kelemahan dalam pengurusan sistem pengesahan dan kunci tandatangan.
Siasatan menemukan beberapa pelanggaran pematuhan. Coupang gagal melaporkan kebocoran itu dalam tempoh wajib 24 jam, dengan memaklumkan pihak berkuasa pada 19 November dan bukannya selewat-lewatnya 18 November. Lebih serius, syarikat itu didakwa melanggar arahan pemeliharaan data yang dikeluarkan pada 19 November. Walaupun diarahkan mengekalkan bukti, Coupang tidak mengubah dasar penyimpanan log automatik, menyebabkan log akses web dari Julai hingga November 2024 serta log akses aplikasi dari 23 Mei hingga 2 Jun 2025 dipadamkan.
Kementerian mengumumkan rancangan untuk mengenakan denda pentadbiran atas pelanggaran pelaporan lewat itu, yang boleh mencecah 30 juta won. Selain itu, pegawai meminta pihak penguat kuasa menyiasat kemungkinan tindakan menghalang siasatan berkaitan pemusnahan bukti. Coupang kini perlu mengemukakan langkah pencegahan kepada kementerian itu selewat-lewatnya hujung bulan ini, dengan pelaksanaan dijadualkan dari Mac hingga Mei, diikuti pemeriksaan kerajaan pada Jun dan Julai.
Pembelaan Coupang Berbanding Realiti
Sepanjang siasatan, Coupang menegaskan bahawa walaupun 33.7 juta akaun terjejas dari segi teknikal, kerosakan sebenar adalah terhad. Syarikat itu mendakwa, berdasarkan keterangan penyerang, hanya kira-kira 3,000 rekod disimpan pada cakera keras pelaku dan kemudiannya dipadamkan. Pendirian ini menerima kritikan keras daripada pengawal selia dan pejuang privasi yang melihatnya sebagai cubaan untuk mengecilkan kesan terhadap kawal selia dan reputasi syarikat.
Choi Woo-hyuk mencabar tafsiran ini secara langsung semasa taklimatnya. Beliau menegaskan bahawa mengikut piawaian perlindungan data Korea Selatan, akses tanpa kebenaran ke halaman maklumat peribadi merupakan kebocoran data, tanpa mengira sama ada data itu disimpan secara setempat atau dihantar ke tempat lain.
Menyifatkannya sebagai akses tidak bermakna liabiliti menjadi lebih ringan. Angka 3,000 rekod itu hanyalah dakwaan syarikat dan sekadar dijadikan rujukan. Kami mengesahkan semua bahan secara bebas. Kami memeriksa pelayan Coupang untuk menentukan jumlah data yang diakses penyerang luar dan jumlah yang dibocorkan.
Wakil Coupang menjawab dapatan kerajaan dengan menegaskan bahawa 148 juta akses ke halaman senarai penghantaran tidak menunjukkan skala kebocoran maklumat. Jurucakap syarikat menyifatkan akses tersebut sebagai cubaan mengumpulkan data peribadi individu yang dikaitkan dengan 33.7 juta akaun, bukannya bukti 148 juta kebocoran data berasingan. Namun, pegawai kerajaan membalas bahawa jumlah permintaan akses yang begitu tinggi menunjukkan keupayaan penyerang untuk mengumpulkan profil pengguna secara menyeluruh.
Perbezaan ini menonjolkan jurang asas dalam cara syarikat dan pengawal selia mentakrifkan kebocoran data. Coupang menumpukan pada data yang disahkan disimpan oleh penyerang, manakala pihak berkuasa menganggap sebarang paparan maklumat peribadi tanpa kebenaran sebagai kejadian kebocoran, terutama apabila disertai bukti kewujudan sistem yang direka untuk pemindahan data ke luar negara.
Kesan Geopolitik dan Tekanan Undang-undang A.S.
Kebocoran itu berkembang daripada insiden keselamatan siber domestik menjadi isu dua hala yang besar antara Korea Selatan dengan Amerika Syarikat. Sebagai syarikat yang disenaraikan di Amerika Syarikat dengan sokongan besar daripada pelabur Amerika, Coupang menarik perhatian penggubal undang-undang A.S. yang melihat tindakan kawal selia tegas Korea Selatan itu sebagai kemungkinan sasaran diskriminasi terhadap sebuah firma Amerika.
Ketua Pegawai Eksekutif interim Harold Rogers berdepan tekanan undang-undang yang semakin meningkat di pelbagai medan. Polis Korea Selatan menyoal Rogers selama kira-kira 12 jam berhubung dakwaan sumpah bohong berkaitan keterangannya mengenai kebocoran itu. Pada masa yang sama, Jawatankuasa Kehakiman Dewan Perwakilan A.S. telah mengeluarkan sepina kepada Rogers untuk memberi keterangan pada 23 Februari 2026 berhubung insiden tersebut. Siasatan Kongres itu meneliti sama ada pengawal selia Korea mengenakan beban yang tidak adil terhadap syarikat yang disenaraikan di Amerika Syarikat.
Di mahkamah persekutuan New York, satu tuntutan mahkamah tindakan kelas menuntut ganti rugi punitif daripada Coupang, dengan mendakwa perlindungan data tidak mencukupi dan pendedahan syarikat mengenai skala kebocoran itu mengelirukan. Tindakan undang-undang tersebut mewakili pelabur dan pengguna yang mendakwa mereka mengalami kerugian akibat kegagalan keselamatan serta usaha syarikat kemudian untuk memperkecilkan insiden itu.
Beberapa syarikat multinasional yang beroperasi di Seoul secara tertutup memberi amaran bahawa tindak balas yang melibatkan sembilan agensi kerajaan dan ratusan pegawai itu belum pernah berlaku sebelum ini jika dibandingkan dengan layanan terhadap syarikat domestik. Mereka merujuk kebocoran di SK Telecom pada 2025 yang menjejaskan 27 juta rekod dan tidak mencetuskan siasatan setanding, sebagai bukti layanan berbeza. Namun, Kementerian Sains dan ICT dengan tegas menafikan sebarang penyimpangan daripada prinsip undang-undang dan menegaskan Coupang menerima layanan yang sama seperti mana-mana syarikat lain yang melakukan pelanggaran serupa.
Presiden Lee Jae-myung secara terbuka berjanji untuk menjadikan Korea Selatan destinasi pelaburan terbaik di dunia, sekali gus mewujudkan ketegangan antara usaha menunjukkan penguatkuasaan perlindungan data yang tegas dengan keperluan mengekalkan keadaan yang menggalakkan bagi modal asing. Kes Coupang kini menjadi kes ujian tentang cara Seoul mengimbangi perlindungan privasi pengguna dengan hubungan perdagangan antarabangsa.
Akibat Kawal Selia dan Risiko Perniagaan
Selain denda segera kerana lewat membuat laporan, Coupang berdepan risiko kawal selia yang serius. Suruhanjaya Perdagangan Adil memberi amaran tentang kemungkinan penggantungan operasi perniagaan, langkah drastik yang akan menghentikan sepenuhnya operasi syarikat. Suruhanjaya itu juga sedang menjalankan audit cukai dan telah menerima aduan parlimen terhadap pengasas Bom Kim serta bekas eksekutif.
Kebocoran itu turut mencetuskan pendedahan berasingan pada 5 Februari 2026, yang mendedahkan tambahan 165,000 rekod pengguna terjejas. Pengumuman kedua ini meningkatkan kemarahan orang ramai dan mengukuhkan tanggapan bahawa penilaian awal syarikat telah meremehkan kesan kebocoran tersebut.
Penganalisis industri menyatakan bahawa kes ini menetapkan penanda aras pematuhan baharu untuk platform pengguna Korea Selatan. Perincian kerajaan mengenai pembinaan semula serangan itu, termasuk jumlah akses khusus dan analisis garis masa, menunjukkan hasrat untuk menetapkan keperluan kawalan terperinci yang turut terpakai kepada syarikat lain yang memproses data peribadi dalam jumlah besar.
Bagi pengguna Coupang, data yang terjejas menimbulkan risiko keselamatan yang nyata. Alamat penghantaran, nombor telefon dan kata laluan pintu masuk bangunan mendedahkan pelanggan kepada kemungkinan diekori, penipuan bersasar dan ancaman keselamatan fizikal. Tidak seperti kebocoran kad pembayaran yang boleh dikurangkan risikonya oleh institusi kewangan melalui pembatalan kad dan pemantauan, alamat serta maklumat hubungan kekal sensitif secara kekal. Kemasukan alamat pihak ketiga, seperti alamat ahli keluarga atau rakan yang disimpan dalam akaun pengguna, meluaskan populasi terjejas melebihi pelanggan Coupang secara langsung.
Perkara Utama
- 33.67 juta akaun pengguna Coupang disahkan bocor, menjejaskan kira-kira dua pertiga penduduk Korea Selatan
- Seorang bekas pekerja mencuri kunci tandatangan pengesahan dan melakukan akses tanpa kebenaran antara April hingga November 2025
- Penyerang mengakses halaman senarai penghantaran sebanyak 148 juta kali, yang berpotensi mendedahkan alamat, nombor telefon dan kod pintu masuk bangunan
- Kementerian Sains dan ICT menyifatkan insiden itu sebagai kegagalan pengurusan yang jelas serta mengambil tindakan terhadap Coupang kerana lewat melapor dan memusnahkan bukti
- Ketua Pegawai Eksekutif interim Harold Rogers berdepan soal siasat polis di Korea dan sepina Kongres A.S. pada 23 Februari 2026
- Satu tuntutan mahkamah tindakan kelas di A.S. menuntut ganti rugi punitif di mahkamah persekutuan New York
- Suruhanjaya Perdagangan Adil memberi amaran tentang kemungkinan penggantungan operasi perniagaan dan sedang menjalankan audit cukai
- Tambahan 165,000 rekod didedahkan pada 5 Februari 2026, berasingan daripada kebocoran utama
- Coupang perlu mengemukakan langkah pencegahan selewat-lewatnya hujung bulan ini, dengan pemeriksaan kerajaan dijadualkan pada Jun dan Julai
