Südkorea weist Coupang an, Sicherheitslücken zu beheben, andernfalls drohen Strafen

Südkorea wies Coupang am Dienstag an, Sicherheitslücken dringend zu schließen, nachdem eine Regierungsuntersuchung eine große Datenpanne mit Versäumnissen in den Benutzerauthentifizierungssystemen des Unternehmens in Verbindung brachte.

Coupang erlitt einen der schlimmsten Datenpannen Südkoreas, was die Handelsreibungen mit den USA nach der Sorge der Beamten in Washington über die Behandlung US-amerikanischer Tech-Unternehmen erhöht hat.

Nun setzen die Ergebnisse das E-Commerce-Riesen unter erneuten Druck, da die Aufsichtsbehörden prüfen, wie persönliche Daten geschützt und gemeldet wurden. Dies geschieht auch, da sowohl die Polizei als auch die Datenschutzaufsicht des Landes die Untersuchungen zu diesem Thema fortsetzen.

Untersuchung identifiziert Authentifizierungsversagen

Das Ministerium für Wissenschaft und IKT sagte Anfang Januar 2025, dass eine Person versuchte, unbefugten Zugriff auf Coupangs Systeme zu erlangen, indem sie Usability-Probleme im Zusammenhang mit der Authentifizierung ausnutzte. Ermittler stellten fest, dass dies geschah, bevor es öffentlich Anzeichen für eine Panne gab.

„Der Angreifer hat Sicherheitslücken in der Benutzerauthentifizierung ausgenutzt, um ohne ordnungsgemäße Anmeldung auf Benutzerkonten zuzugreifen und großflächige unbefugte Datenlecks zu verursachen“, sagte das Ministerium.

Sie konnten feststellen, dass die Person in der Lage war, unbefugten Zugriff auf Benutzerkonten zu erlangen, indem sie die Schwachstellen im Authentifizierungsprozess ausnutzte, was zur Offenlegung vertraulicher Informationen von etwa 33,7 Millionen Kunden führte.

Das Ministerium stellte fest, dass der Datenbruch auf den Missbrauch eines internen Sicherheits-Signierschlüssels eines Mitarbeiters zurückzuführen war, der im November 2024 das Unternehmen verlassen hatte, um gefälschte Authentifizierungstokens zu generieren.

Es hieß, dass das Mitarbeitermitglied Teile der Benutzerverifizierung von Coupang entworfen und entwickelt hatte und das Unternehmen versäumt habe, ein angemessenes Schutzniveau dagegen zu bieten, dass dieser Mitarbeiter Zugang zu den vertraulichen Kontodaten dieser Kunden erlangen konnte.

„Das Verifizierungssystem für gefälschte oder manipulierte elektronische Zugangskarten war unzureichend, was es schwierig machte, die Angriffe im Voraus zu erkennen oder zu blockieren“, sagte das Ministerium.

Im Dezember 2025 bestätigte Coupang, dass es von einer jüngsten Datenpanne betroffene Kunden entschädigen wird, und versprach Gutscheine im Wert von über 1,17 Milliarden US-Dollar. Das Unternehmen betonte, dass die Panne nur Kundennamen, E-Mail-Adressen, einige Bestellhistorien und Hausadressen betraf, nicht jedoch Zahlungs- und Login-Details.

Aufseher fordern System-Upgrades bei Coupang

Die Behörden haben Coupang angewiesen, fortschrittliche Technologien einzuführen, die die Erkennung und Blockierung elektronischer Zugangskarten ermöglichen, die außerhalb des Standard-Ausstellungsprozesses empfangen wurden.

„Das Ministerium für Inneres und Sicherheit hat Coupang angewiesen, Erkennungs- und Blockierungstools für elektronische Zugangskarten zu installieren, die nicht über den regulären Ausstellungsprozess ausgestellt wurden“, sagte das Ministerium.

Die Polizei und die Behörde für personenbezogene Daten haben ihre unabhängigen Untersuchungen in Bezug auf den behaupteten Vorfall durchgeführt.

Das Innenministerium beschuldigte Coupang auch, gegen die Gesetze zum Informationsnetzwerk verstoßen zu haben, indem es versäumt wurde, den Vorfall innerhalb der vorgeschriebenen 24-Stunden-Frist zu melden. Die Aufsichtsbehörde behauptete, dass das Unternehmen von der Intrusion am 17. November Kenntnis erlangt hatte, aber erst am 19. November etwas meldete.

Das Ministerium ermittelt derzeit, ob eine Verwaltungsstrafe von bis zu 30 Millionen Won (20.596 US-Dollar) verhängt werden soll. Das Ministerium hat den Vorwurf der Vernichtung von Daten zur Überprüfung an die zuständige Abteilung weitergeleitet. Coupang hat keine öffentlichen Aussagen zum Ergebnis der Untersuchung gemacht.