事件經過與重要性
南韓最大電商平台 Coupang 揭露大規模資料外洩事件，涉及 3,370 萬個客戶帳戶的個人資訊。調查人員表示，未經授權的存取可能於 6 月透過境外伺服器開始，數月來一直未被察覺。受影響人數超過全國人口的一半，日常購物的消費者、家庭與小型企業都可能面臨個資外洩後常見的詐騙風險。
公司表示，曝光資訊包括姓名、手機號碼、電子郵件地址、收件地址，以及部分過往訂單的詳細資料。付款卡資料、銀行資訊與登入憑證並未遭到存取。即使沒有財務資訊，聯絡資料與訂單紀錄的組合仍足以助長高仿真的詐騙，例如冒充客服人員或偽造配送通知。公司已提醒客戶提高警覺，留意索取驗證碼、密碼或付款資訊的電話、簡訊與電子郵件。
Coupang 表示歉意，並在 11 月中旬發現少數帳戶出現異常存取後不久，向主管機關通報事件。最初估計約有 4,500 個帳戶遭入侵，隨著調查範圍擴大，受影響帳戶數很快攀升。警方正調查一名前員工是否涉案，據悉此人目前已離境。監管機關則在檢視 Coupang 是否違反個資保護規定，並表示若確認公司有違規情事，將採取處分。
資料外洩事件如何發生
根據公司與政府官員說法，這起事件涉及配送相關個資，可能是自 6 月下旬起，透過海外伺服器存取資料所致。Coupang 於 11 月 18 日發現異常活動，並在兩天內通報主管機關。封鎖可疑存取途徑並加強內部監控後，公司開始與資安專家及執法機關共同調查。隨著鑑識工作進行，受影響帳戶數增加至數千萬個。
主管機關表示，攻擊者可能利用特定伺服器驗證機制的漏洞，反覆擷取資料而未立即觸發警報。目前調查的重點之一，是這種可能性是否與相關跡象相符：攻擊者對內部系統相當熟悉。政府召開緊急會議，並組成公私部門聯合小組，協調技術分析、受害者支援與監管處置。
曝光資料與風險
據報導，外洩資料包含消費者為了收取配送服務而提供的日常個人資訊：姓名、手機號碼、電子郵件地址、收件地址，以及部分訂單紀錄。付款卡號、銀行資訊與密碼不在其中。這項區別攸關立即的財務風險，但曝光資訊仍可能被用於社交工程詐騙。詐騙者可以冒充零售商、物流業者，甚至銀行，再誘騙受害者透露一次性驗證碼或安裝惡意軟體。
大規模資料外洩後，簡訊釣魚（smishing）是常見的後續威脅。攻擊者會利用逼真的配送通知或帳戶警示，誘使民眾前往假登入頁面，或騙取一次性驗證碼以接管帳戶。若訊息中還帶有訂單細節，誘餌就更具說服力。客戶應謹慎看待意料之外的訊息與來電，尤其是對方要求付款、提供驗證碼或遠端存取裝置時。
Coupang 表示沒有密碼遭竊，但犯罪者經常利用外洩的聯絡資料嘗試重設密碼。留意非本人發起的密碼重設或驗證通知；確認帳戶異動時，只透過官方 App 或網站操作，不要點擊訊息中的連結。可用時請啟用雙重驗證，並檢查近期訂單與已儲存的收件地址，確認是否有非本人所做的變更。
可能涉案者
熟悉調查情況的官員表示，警方已鎖定一名嫌疑人，為前員工且具有外國國籍。據報導，此人已離境。調查人員正查明此人是否利用伺服器驗證漏洞，或離職後仍保有存取權限。熟悉內部系統的人更容易找到弱點，尤其是在系統日誌與權限管控不夠嚴謹的情況下。
內部人員風險不只來自蓄意作惡。疏失、未撤銷的系統權杖，以及離職程序延宕，都可能暴露資料存取路徑，讓外部攻擊者有機可乘。嚴謹的存取控制、憑證輪替與撤銷、持續記錄日誌及行為監控，都是降低這類風險的關鍵。監管機關強調這起事件的嚴重性，並承諾將迅速因應。
科學技術情報通信部針對數百萬名國民的聯絡資料外洩事件，說明了調查處置的方向。
該部表示，將迅速展開調查；若查獲違規，將予以嚴厲制裁。
主管機關與 Coupang 的應對
政府在接獲初步通報後數日內展開正式調查，並與執法及技術機關成立聯合應變小組。個人資訊保護委員會正在調查是否違反個資保護規定。Coupang 表示已封鎖存取途徑、加強內部監控，並全面配合調查。公司也提醒客戶提防冒充行為，並透過官方管道確認訊息。
這起外洩事件的規模超過今年稍早一家大型行動電信業者的重大事故；該事件影響逾 2,300 萬名用戶，並導致創紀錄的罰款。監管機關已表示，若發現管控措施不足，將嚴格處分。主管機關也在檢視是否有必要加強產業對伺服器安全、離職交接及存取驗證的指引。
為何認證未能防止事件發生
Coupang 持有 ISMS P 認證，這是南韓的資訊安全與個人資料保護國家認證。公司於 2021 年取得認證，並在 2024 年續證。儘管如此，Coupang 自 2020 年以來仍發生多起事件，先前也曾因違規遭罰。這讓外界更關注認證究竟能保障什麼。ISMS P 稽核著重於政策、流程與管控措施是否有文件記載，但認證並不保證能避免即時失誤、人為錯誤或內部人員濫用權限。
批評者認為，稽核可能偏重文件是否合規，卻未充分驗證管控措施在壓力下能否實際運作。複雜的平台仰賴大量微服務、第三方整合與龐大團隊，風險情勢可能迅速變化。認證採定期進行且以檢核表為導向，可能無法發現只有在實際運作中才會浮現的弱點，例如存取權杖長期有效、伺服器驗證有漏洞，或不同環境間的日誌關聯分析不完整。
其他司法管轄區的規範，可作為了解處罰與預防如何互相配合的參考。歐盟《一般資料保護規則》（GDPR）要求從設計階段納入隱私保護，並須在 72 小時內通報資料外洩事件；罰款最高可達全球營收的 4%。在美國，聯邦貿易委員會曾對不當處理用戶資料或誤導消費者的企業處以高額罰款。日本在多起重大事件後，依據《個人資訊保護法》加嚴規範，強化內部存取規則與稽核。南韓的制度普遍被視為嚴格，但屢次發生重大事件，顯示執法、監控與預防措施仍須跟上迅速變化的攻擊手法與內部人員風險。
與南韓過往個資外洩事件的比較
過去二十年來，南韓發生過數起重大資料外洩事件。2011 年，駭客竊取一家大型社群網站暨入口網站約 3,500 萬個帳戶的資料。2014 年，信用卡公司遺失數千萬筆資料，當中包含居民登錄號碼與卡片資訊。更早的事件曾波及網路市集與能源業者，近年也有行動電信業者通報資料外洩。近期一家大型電信業者的事件影響逾 2,300 萬名用戶，並因違反個人資訊法規而遭處以迄今最高額的罰款。
Coupang 案的特殊之處在於受影響規模，以及前內部人員疑似涉案。此前公司接連發生數起較小的疏失，也讓外界更擔心改善資安的承諾是否落實。事件的規模、持續時間，以及涉案者對系統的熟悉程度，對企業治理與國家個資保護制度都是嚴峻考驗。
客戶現在可以怎麼做
Coupang 表示，目前沒有證據顯示付款資料或密碼遭到曝光。即便如此，大規模外洩事件經常引發利用姓名、電話號碼、地址與訂單細節進行的詐騙。採取幾項簡單措施，可以降低風險，也有助於在遭人鎖定時迅速應對。
- 謹慎看待非預期的電話、簡訊與電子郵件，尤其是索取付款、一次性驗證碼或帳戶資料時。
- 不要點擊配送或帳戶通知中的連結。請開啟官方 App，或自行輸入網站網址。
- 可用時請為帳戶啟用雙重驗證。
- 查看帳戶紀錄與收件地址簿，留意是否有非本人所做的變更。
- 使用密碼管理工具，避免在購物、電子郵件與銀行帳戶重複使用密碼。
- 對要求在手機或電腦安裝遠端協助軟體的請求提高警覺。
- 若收到自稱來自公司的可疑訊息，請透過官方 App 或網站聯絡客服。
若懷疑個資遭到濫用，請向主管機關及行動電信業者通報。保留可疑訊息的螢幕截圖，並記下時間與電話號碼。迅速通報有助於調查人員找出更大範圍的詐騙模式，並封鎖惡意網域與電話號碼。
企業與市場的後續影響
重大資料外洩造成的成本，往往遠超過技術修復。企業必須投入鑑識、身分保護服務、系統重新設計與客戶支援，同時因應監管處置與法律訴訟。聲譽受損的影響可能長期存在，尤其是仰賴回購與品牌忠誠度的平台。外界要求追究責任的聲浪已經升高，個資保護主管機關也表示，若查證有合規缺失，將考慮採取制裁。
Coupang 在美國上市，並在南韓以全國性規模營運，因此受到多個監管機關與投資人的檢視。公司未來提交的文件與簡報，可能會聚焦於存取管理、憑證撤銷、伺服器驗證、日誌關聯分析，以及第三方整合的治理方式。要重建信任並降低資安漏洞在數月後才被發現的風險，持續投入人力、流程與技術資源不可或缺。
重點整理
- Coupang 3,370 萬個客戶帳戶的個人資訊遭到曝光。
- 外洩資料包括姓名、手機號碼、電子郵件地址、收件地址，以及部分訂單紀錄。
- 曝光資料中未發現付款卡資料、銀行資訊或登入密碼。
- 未經授權的存取可能於 6 月開始，直到 11 月中旬才被發現。
- 主管機關正調查一名前員工是否涉案，並已召集緊急應變小組。
- 科學技術情報通信部警告，若確認違反個資保護法規，將予以嚴厲制裁。
- Coupang 表示已封鎖存取途徑並加強內部監控。
- 公司呼籲客戶提防冒充公司名義的電話、簡訊與電子郵件。
- 此案讓外界更關注 ISMS P 等國家資安認證是否有效。
- 這起外洩事件的規模超過近期其他大型企業的事故，是南韓通報過的最大規模事件之一。
