事件經過與影響
南韓最大網路零售商酷澎（Coupang）發生重大資料外洩事件，約3,370萬個客戶帳戶的個人資料遭到曝光，震撼全國。受影響人數約占南韓人口的三分之二，規模驚人。總統府、監管機關及執法單位已全面展開因應，這起事件也開始引發新一波討論：在快速數位化的經濟環境中，企業該如何保護個人資料。
目錄
酷澎表示，公司於11月18日發現未經授權的存取，並通報主管機關。後續調查顯示，外洩事件可能早在6月24日就已透過設於海外的伺服器開始，持續數月而未被察覺。公司已致歉，並配合調查。酷澎表示，付款資料與密碼並未遭存取，但姓名、電子郵件地址、電話號碼、收件地址及部分訂單紀錄已外洩。
總統李在明稱這起事件是個資保護的警鐘，並指示官員研擬更嚴格的罰則。根據《個人資訊保護法》，未採取適當安全措施的企業，最高可處年營收3%的罰款。以酷澎的規模而言，依計算採用的營收基準不同，罰款上限可能接近或超過1兆韓元。警方、韓國網路暨安全局（KISA）及個人資訊保護委員會（PIPC）均已展開調查；主管機關也提醒民眾留意利用外洩聯絡資料進行的網路釣魚與詐騙。
外洩事件如何發生
主管機關表示，這次入侵於6月下旬透過海外基礎設施開始，一直持續到11月才被發現。調查人員正追查網路活動，並檢視酷澎系統如何驗證內部存取權限。初步調查指出，驗證控管可能存在弱點。據聽取案件簡報的官員表示，一組與前員工相關的驗證金鑰在該員工離職後仍維持有效，因而留下存取客戶資料的漏洞。警方正調查一名據報目前身在海外的中國籍前開發人員，是否濫用未撤銷的憑證或簽章金鑰。
酷澎表示，公司已封鎖遭利用的存取途徑、加強監控，並聘請獨立資安專家協助。公司也已通知KISA、PIPC及國家警察廳，並向受影響用戶發送通知。政府部會則成立聯合小組，釐清事件經過，並確認是否落實必要的防護措施。調查也將檢視是否違反個人資訊保護規定。
未停用金鑰為何危險
現代平台仰賴金鑰與權杖，授予機器及員工執行特定工作的有限權限。如果員工轉調或離職後，金鑰仍然有效，就可能成為未經授權存取的現成通行證。資安實務要求採取最低權限原則、在職務變動時迅速撤銷權限，並定期輪替金鑰，避免金鑰長期保持可用。長期有效的金鑰風險較高，因為只要撤銷或監控稍有疏漏，就可能導致大量資料外洩。本案調查人員正釐清，未撤銷的憑證是否被用來在數月間悄悄穿梭於系統之中。
政府反應與法律責任
這起外洩事件迅速從企業事件升高為國家關切的問題。總統府召集高層官員，要求提出提高罰則及強化消費者保護的方案。科學技術資訊通信部、PIPC及警方正聯合調查，範圍涵蓋技術鑑識及資料安全法規遵循情形。KISA發布公告，提醒民眾提防可能利用外洩聯絡資料與配送資訊的詐騙。
在內閣會議上，李在明批評入侵發生後經過很長時間才被發現，並要求迅速追究責任，重新檢視大型企業對用戶資料安全的優先順序。
李在明表示，長達數月未被察覺的外洩事件令人無法接受，個資保護規範必須改變。他呼籲加重制裁並加速究責，隨後也進一步警告企業必須改變隱私保護文化。
酷澎從事件開始後長達五個月，竟然連外洩事件本身都未能察覺，令人震驚。在人工智慧與數位化時代，個人資料是重要資產；對個資保護掉以輕心的錯誤做法與觀念，必須徹底改變。
法律責任可能相當重大。依現行法規，若主管機關認定企業未採取適當安全措施，最高可處營收3%的行政罰款。酷澎每年營收達數百億美元。以此營收基準計算，3%的罰款可能高達數千億韓元，按近期匯率換算甚至可能超過1兆韓元。主管機關也正檢視懲罰性賠償規定，以及是否進一步提高屢次違規或大規模違規的罰則。
事件規模逐漸明朗後，金融市場也出現反應。警方確認外洩規模、表示正追查IP位址並檢視技術漏洞後，酷澎股價下跌。分析師預期，由於酷澎市場地位穩固，客戶流失可能有限，但受害者賠償及可能的罰款，恐導致高額一次性支出。
外洩資料內容與自我保護方式
酷澎表示，外洩資料包括基本聯絡與配送資訊，以及部分訂單紀錄。公司稱目前沒有證據顯示信用卡號、銀行資料或密碼遭到外洩。這降低了立即遭直接金融竊盜的風險，但外洩的聯絡資料與地址對擅長冒充他人的詐騙者仍很有利用價值。
外洩了哪些資料
根據公司通知及官方簡報，外洩欄位包括：
- 姓名
- 電子郵件地址
- 手機號碼及其他電話號碼
- 收件地址
- 部分訂單紀錄
犯罪者可利用這些資料組合，讓網路釣魚訊息和來電聽起來更可信。假冒的配送通知若載有你的姓名與正確地址，更容易誘使民眾點擊惡意連結或提供付款資料。KISA提醒消費者，對看似來自酷澎或物流公司的電話、簡訊及電子郵件保持警覺，並避免點擊未經請求的訊息中的連結。
消費者可採取的措施
- 對提及訂單或配送問題的陌生電子郵件、簡訊或來電保持警覺。不要點擊連結，請直接開啟官方App或網站查看通知。
- 可用時，請為帳戶啟用兩步驟驗證。更嚴格的登入驗證有助於降低其他個資遭濫用時造成的損害。
- 檢查近期訂單與帳戶活動，留意任何不熟悉的項目。如有可疑情況，請通報客服。
- 小心要求付款以解決配送問題的訊息。可信賴的平台不會透過簡訊或電話索取信用卡資料。
- 考慮使用密碼管理工具，並為每項服務設定不同密碼，以降低在不同網站重複使用密碼的風險。
- 若懷疑身分遭到冒用，請向主管機關提出申訴，並向公司索取所需的相關文件，以便提出報案或申請。
酷澎表示，公司正通知受影響用戶，並已封鎖造成入侵的存取途徑。公司也加強內部監控，並聘請獨立專家協助應變與補救。
對酷澎與網購市場的商業影響
酷澎是南韓零售業巨擘，近幾季活躍用戶接近2,500萬。公司業務已擴展至生鮮快速配送、物流及影音串流，並在日本與台灣提供服務。酷澎表示，沒有證據顯示其台灣事業部或南韓以外的其他關係企業服務資料受到影響。不過，由於外洩事件波及眾多家庭，對南韓國內造成的衝擊仍相當嚴重。
外洩規模公開、警方展開正式調查後，投資人最初下調酷澎股價。如果大多數客戶繼續使用服務，對營收的即時影響可能有限，但事件處理、可能的賠償及罰款都可能帶來龐大成本。若主管機關依最高比例開罰，罰款本身就可能接近1兆韓元，實際金額則取決於採用的營收基準。
這起事件也發生在南韓網路資安事件頻傳的一年。另一起案件中，SK Telecom因波及數千萬名用戶的資料外洩而遭重罰；樂天卡（Lotte Card）的另一起案件，則凸顯犯罪者如何鎖定掌握大量身分與消費資料的企業。這些案件都早於酷澎外洩事件，讓主管機關採取更嚴格措施的背景更加明確。
南韓為何屢傳重大資料外洩
這類事件往往出現在資料庫龐大、內部系統複雜，且競爭激烈的網路市場要求快速行動的環境。企業若仰賴大量內外部開發人員，並使用眾多彼此連線的服務，監督工作就可能出現漏洞。金鑰與權杖可能不斷累積，未能按時失效；存取權限也未必總是限於完成工作所需的最低程度。在這種環境下，一組未撤銷的金鑰或設定錯誤的伺服器，就可能為攻擊者提供明確的入侵途徑。
官員表示，自2021年以來接連發生的大規模外洩事件，顯示個人資訊保護存在結構性弱點。PIPC近期才因一家電信業者的外洩事件多年未被察覺，開出史上最高罰款。酷澎案的調查人員正評估，儘管公司投入大量資金於資安與資訊科技，內部治理及存取控管是否仍有不足。業界人士指出，若未在日常工作中落實金鑰輪替、稽核紀律及憑證生命週期管理，光是投入資金並不能保證資料獲得妥善保護。
政府已下令檢討懲罰性賠償與罰則，顯示改革壓力不只針對單一企業。其他平台已開始進行內部資安檢查與稽核。現在的討論範圍也延伸至跨境工程團隊、資料在地化，以及設有海外開發據點的企業在處理國內用戶資料時，是否需要更嚴格的管控。
企業適用哪些規定，後續可能有哪些變化
依《個人資訊保護法》，企業必須採取適當的技術與管理措施，保護個人資料。若因未盡義務而導致資料外洩，企業可能被要求限期改正、處以行政罰款，並面臨損害賠償請求。罰款上限為營收的3%；新提案可能在造成重大損害或屢次疏失時提高法律責任。主管機關也正評估是否縮短通報時限、增加存取控管的強制測試，並要求企業提出更有力的證明，說明其金鑰管理措施，以及員工離職或轉調時撤銷存取權限的作法。
大型平台面臨的教訓很明確，儘管落實起來並不容易：金鑰與權杖應設定較短的有效期限；存取權限應限於完成工作所需的最低程度；職務變動時應自動並立即撤銷原有權限；警示與偵測系統應標示針對用戶資料庫的不尋常查詢。定期進行內部紅隊測試與獨立審查，有助於找出盲點。主管機關很可能要求企業在補救計畫中，展現這些基本措施已取得明確進展。
依目前調查結果，用戶面臨的即時風險主要是遭到鎖定式詐騙，而非付款資料遭直接竊取。即便如此，仍可能造成實際傷害，尤其是日常仰賴配送訊息與手機通知的人。正確的姓名、地址及近期訂單資訊組合起來，就足以製造出相當可信的誘餌。若消費者知道該留意哪些跡象，加上簡單的App內驗證步驟，就能降低這類攻擊造成的影響。
重點一覽
- 約3,370萬個酷澎客戶帳戶資料外洩，是南韓十多年來規模最大的資料外洩事件。
- 外洩資料包括姓名、電子郵件地址、電話號碼、收件地址及部分訂單紀錄。公司表示，付款資料與密碼不在其中。
- 未經授權的存取據信於6月24日開始，並於11月18日被發現。
- 主管機關正調查驗證機制是否存在弱點，以及前員工是否使用未撤銷的存取金鑰。
- 李在明下令加重罰則並加速究責，稱數月未能發現入侵令人震驚。
- 依現行法律，主管機關最高可處營收3%的罰款，金額可能達數千億韓元甚至更高。
- KISA發布公告，警告民眾提防可能利用外洩聯絡資料進行的網路釣魚與詐騙。
- 警方、KISA及PIPC已展開聯合調查；酷澎表示已封鎖遭利用的存取途徑，並聘請外部專家協助。
- 律師事務所正準備集體訴訟，分析師預期賠償與罰款可能帶來可觀的一次性成本。
- 本案增添南韓今年重大資料外洩事件的紀錄，也可能加快資料保護與內部存取控管方面的法規改革。
