韓国、クーパンにセキュリティの穴を修正するよう指示、違反すれば罰金

韓国は火曜日、政府の調査が主要なデータ侵害が同社のユーザー認証システムの失敗に関連していることを明らかにした後、クーパンにセキュリティの穴を緊急に閉じるよう命じた。

クーパンは韓国で最悪のデータ侵害の1つを経験し、これはワシントンの当局者が米国のテック企業の扱いに懸念を表明したことで、米国との貿易摩擦を増加させた。

現在、この調査結果は、個人データがどのように保護され、報告されたかを規制当局が精査する中で、電子商取引大手に新たな圧力をかけている。これはまた、警察と国のデータ監視機関が引き続きこの問題に関する調査を進めていることと重なっている。

プローブが認証の失敗を特定

科学情報通信部は2025年1月初頭、個人がCoupangのシステムへの不正アクセスを試みていたと発表した。このアクセス試行は、認証に関連する使いやすさの問題を悪用したものであり、調査官は、この出来事が公に知られる前に発生したと指摘した。

「攻撃者はユーザー認証の脆弱性を悪用し、適切なログインなしにユーザーアカウントにアクセスし、大規模な不正な情報漏洩を引き起こした」と省は述べた。

彼らは、個人が認証プロセスの脆弱性を悪用してユーザーアカウントへの不正アクセスを取得し、約3,370万人の顧客の機密情報の侵害につながったことを特定できた。

省は、データ侵害は、2024年11月に退職した元従業員が、偽造認証トークンを生成するために内部従業員のセキュリティ署名鍵を不正に使用したことに起因すると判断した。

省は、その従業員がCoupangのユーザー認証システムの設計と開発の一部を担当しており、同社はこの従業員が顧客の機密アカウントデータにアクセスすることを防ぐための十分な保護を提供しなかったと述べた。

「偽造または改ざんされた電子アクセスカードの検証システムは不十分であり、攻撃を事前に検出またはブロックすることが困難だった」と省は述べた。

2025年12月、クーパンは最近のユーザーデータ侵害の影響を受けた顧客に補償することを確認し、11億7,000万ドル以上のバウチャーを提供すると約束した。同社は、侵害は顧客の名前、メールアドレス、一部の商品履歴、住所に影響を与えたのみで、支払いおよびログイン詳細には影響を与えなかったと強調した。

規制当局はCoupangのシステムアップグレードを要求

当局は、Coupangに対し、標準的な発行プロセスの外で受信された電子アクセスカードの検出とブロックを可能にする高度な技術の実装を命じた。

「内務安全省は、Coupangに対し、通常の発行プロセスを通じて発行されなかった電子アクセスカードの検出とブロックツールの設置を指示した」と省は述べた。

警察と個人情報保護委員会は、 alleged incident（ alleged incident）に関する独立した調査を実施している。

内務省はまた、Coupangが事件を24時間以内に報告する義務を果たさなかったことで情報ネットワーク法に違反したと非難した。規制当局は、同社の侵入の認識が11月17日に発生したが、11月19日まで何も報告されなかったと主張した。

省は現在、最大3,000万ウォン（約2万596ドル）の行政罰を科すかどうかを決定している。省は、データの破棄の嫌疑を適切な部門に審査のために参照した。Coupangは、調査の結果について公に声明を出していない。