Coreia do Sul ordena à Coupang que corrija falhas de segurança ou enfrente penalidades

Na terça-feira, a Coreia do Sul ordenou à Coupang que fechasse urgentemente falhas de segurança após uma investigação governamental ligar uma grande violação de dados a falhas nos sistemas de autenticação de usuários da empresa.

A Coupang sofreu uma das piores violações de dados da Coreia do Sul, o que aumentou as tensões comerciais com os EUA após funcionários em Washington expressarem preocupação com o tratamento das empresas de tecnologia americanas.

Agora, as descobertas colocam nova pressão sobre o gigante do comércio eletrônico, à medida que os reguladores examinam como os dados pessoais foram protegidos e relatados. Isso também ocorre enquanto a polícia e a autoridade de proteção de dados do país continuam com as investigações sobre o assunto.

Investigação identifica falhas na autenticação

O Ministério da Ciência e TIC informou no início de janeiro de 2025 que um indivíduo tentava obter acesso não autorizado aos sistemas da Coupang explorando problemas de usabilidade relacionados à autenticação. Os investigadores observaram que isso ocorreu antes de qualquer indicação pública de uma violação.

“O atacante explorou vulnerabilidades na autenticação de usuários para acessar contas de usuários sem um login adequado e causou vazamentos em larga escala de informações não autorizadas”, disse o ministério.

Eles conseguiram determinar que o indivíduo obteve acesso não autorizado às contas dos usuários explorando vulnerabilidades no processo de autenticação, o que resultou na violação de informações confidenciais de cerca de 33,7 milhões de clientes.

O ministério determinou que a violação de dados seguiu o uso indevido de uma chave de assinatura de segurança de um funcionário interno para a geração de tokens de autenticação falsos por um funcionário que saiu em novembro de 2024.

A empresa afirmou que o funcionário havia projetado e desenvolvido partes da verificação de usuários da Coupang, e a empresa falhou em fornecer um nível de proteção contra esse funcionário conseguir obter acesso aos dados confidenciais da conta desses clientes.

“O sistema de verificação para cartões de acesso eletrônico forjados ou alterados era inadequado, dificultando a detecção ou bloqueio dos ataques com antecedência”, disse o ministério.

Em dezembro de 2025, a Coupang confirmou que compensará os clientes afetados por uma recente violação de dados, comprometendo-se a oferecer vales no valor de mais de US$ 1,17 bilhão. A empresa enfatizou que a violação afetou apenas nomes de clientes, endereços de e-mail, alguns históricos de pedidos e endereços residenciais, não detalhes de pagamento e login.

Reguladores exigem atualizações do sistema da Coupang

As autoridades ordenaram à Coupang que implemente tecnologia avançada que permita a detecção e o bloqueio de cartões de acesso eletrônico recebidos fora do processo padrão de emissão.

“O Ministério do Interior e da Segurança direcionou a Coupang a instalar ferramentas de detecção e bloqueio para cartões de acesso eletrônico que não foram emitidos por meio do processo regular de emissão”, disse o ministério.

A polícia e a Autoridade de Dados Pessoais realizaram suas investigações independentes sobre o alegado incidente.

O Ministério do Interior também acusou a Coupang de violar as leis de rede de informações por não relatar o incidente dentro do período de 24 horas exigido. O órgão regulador afirmou que o conhecimento da empresa sobre a intrusão ocorreu em 17 de novembro, mas eles não relataram nada até 19 de novembro.

O ministério está atualmente determinando se imporá uma penalidade administrativa de até 30 milhões de won (US$ 20.596). O ministério encaminhou a alegação de destruição de dados à divisão apropriada para revisão. A Coupang não fez declarações públicas sobre o resultado da investigação.