南韓證實 Coupang 3,367 萬筆用戶資料外洩，引發美國法律與外交壓力

閱讀時間 6 分鐘

最後更新: February 11, 2026 • 22:22 UTC

外洩規模

南韓科學技術情報通信部週二證實，該國電商龍頭、那斯達克上市公司 Coupang 發生重大資料外洩事件，共有 3,367 萬筆用戶紀錄遭到洩露。這相當於南韓 5,100 萬人口的約三分之二，是該國史上規模最大的消費者資料外洩事件之一，影響大量活躍於數位平台的民眾。

外洩規模
攻擊過程
政府調查結論
Coupang 的說法與事實
地緣政治衝擊與美國法律施壓
監管後果與營運風險
重點整理

調查發現，一名前員工利用身分驗證漏洞，取得數百萬名用戶的姓名與電子郵件地址。除了初步取得的帳戶資料，攻擊者還瀏覽配送地址清單頁面 1.48 億次，可能接觸到姓名、電話號碼、實際地址，甚至經匿名化處理的公寓大樓入口密碼。Coupang 允許每個帳戶儲存最多 20 個配送地址，因此實際外洩的地點資料量可能遠超帳戶數，受影響者也可能包括主要帳戶持有人的家人與熟人。

南韓科學技術情報通信部資安與網路政策室室長崔宇赫在首爾的一場政府簡報會上公布調查結果。Coupang 於 2025 年 11 月 17 日首度發現入侵事件，近三個月後政府才予以證實，事件規模也遠超公司最初對外說明。遲遲未對外證實，引發外界猜測公告是否因顧慮美國的貿易施壓而延後，以及美國政界人士指控南韓政府歧視美國企業等說法；調查小組則斷然否認這些指控。

調查小組強調，始終遵循法律原則，未對任何企業採取差別待遇，並在調查結果出爐後依標準迅速、透明地對外揭露。這番說明旨在回應日益升高的疑慮，外界擔心此案可能受到外交考量影響，而非依監管要求處理。

攻擊過程

這起資料外洩事件源自組織內部。調查人員確認，攻擊者是 Coupang 前員工，任職期間曾開發用戶身分驗證軟體。根據政府分析，此人竊取身分驗證系統的簽署金鑰，於 2025 年 1 月 5 日至 1 月 20 日進行初步攻擊測試，之後部署網頁爬蟲工具，有系統地擷取資料。

攻擊期間從 2025 年 4 月 14 日持續至 11 月 8 日，攻擊者近七個月未被察覺。這名前員工利用竊得的簽署金鑰，偽造官員所稱的電子通行憑證，完全繞過標準登入程序。即使離開公司後，仍能持續存取 Coupang 服務。

韓國網路暨安全局數位威脅應變處處長李東根指出，調查人員發現，Coupang 現職開發人員曾將簽署金鑰存放在個人筆記型電腦，違反相關憑證必須留在管理系統內的內部規定。這項做法造成漏洞，讓資料外洩事件得以發生。

攻擊者存取「編輯個人資料」頁面，取得 33,673,817 筆含有姓名與電子郵件地址的紀錄。此外，配送地址清單頁面遭存取 1.4805 億次，訂單清單頁面則約有 10 萬次未經授權的瀏覽。調查人員證實，攻擊者持有可將資料傳送至海外雲端伺服器的系統，但無法確認是否真的進行了資料傳輸。

政府調查結論

南韓主管機關嚴厲批評 Coupang 的資安管理。崔宇赫形容，這起事件明顯是管理失當，而非複雜的外部攻擊。調查小組發現，身分驗證系統管理與簽署金鑰控管都有重大缺失。

這是 Coupang 明顯的管理失當，並非複雜的攻擊。調查小組發現，身分驗證系統與簽署金鑰的管理都有缺失。

調查發現多項違規情事。Coupang 未在規定的 24 小時期限內通報資料外洩事件，而是在 11 月 19 日通知主管機關，未能於規定期限 11 月 18 日前通報。更嚴重的是，公司涉嫌違反 11 月 19 日發布的資料保存命令。儘管主管機關要求保全證據，Coupang 並未調整自動儲存記錄的政策，導致 2024 年 7 月至 11 月的網頁存取記錄，以及 2025 年 5 月 23 日至 6 月 2 日的 App 存取記錄遭刪除。

科學技術情報通信部宣布，將針對延遲通報違規處以行政罰鍰，金額最高可達 3,000 萬韓元。此外，主管機關已要求執法單位調查是否涉及妨害調查及銷毀證據。Coupang 必須在本月底前向該部提交預防措施，預定於 3 月至 5 月間落實，政府則將於 6 月至 7 月進行查核。

Coupang 的說法與事實

調查期間，Coupang 一再表示，雖有 3,370 萬個帳戶在技術上受到影響，但實際損害有限。公司聲稱，根據攻擊者的供述，僅約 3,000 筆紀錄曾儲存在攻擊者硬碟中，之後也已刪除。監管機關與隱私倡議人士嚴厲批評這項說法，認為公司試圖淡化監管與商譽損害。

崔宇赫在簡報會上直接反駁這種解讀。他強調，依南韓個資保護標準，未經授權存取個人資料頁面即構成資料外洩，無論資料是否儲存在本機或傳送至其他地方。

稱為存取，不代表責任較輕。3,000 筆紀錄只是公司的說法，僅供參考。我們已獨立查證所有資料，並檢查 Coupang 伺服器，以確認外部攻擊者存取了多少資料、外洩了多少資料。

Coupang 發言人回應政府調查結果時表示，配送清單頁面遭存取 1.48 億次，並不代表外洩資料的規模。發言人稱，這些存取是為了蒐集與 3,370 萬個帳戶相關的個人資料，而非表示有 1.48 億筆不同資料遭到外洩。不過，政府官員反駁指出，如此大量的存取請求，顯示攻擊者有能力蒐集完整的用戶資料檔案。

雙方說法的落差，凸顯企業與監管機關對資料外洩的定義存在根本差異。Coupang 著重於攻擊者已確認儲存的資料；主管機關則將任何未經授權瀏覽個人資料的行為視為資料外洩，尤其在有證據顯示系統具備向海外傳送資料的能力時更是如此。

地緣政治衝擊與美國法律施壓

這起資料外洩事件已從國內資安事故演變為南韓與美國之間的重要雙邊議題。Coupang 在美國上市，且獲得大量美國投資人支持，因此受到美國國會議員關注。他們認為，南韓監管機關採取強硬措施，可能是在針對美國企業進行歧視性處置。

代理執行長哈洛德・羅傑斯正面臨多方日益升高的法律壓力。南韓警方就其在資料外洩事件相關證詞中涉嫌偽證一事，訊問羅傑斯約 12 小時。同時，美國眾議院司法委員會已傳喚羅傑斯於 2026 年 2 月 23 日出席作證，說明這起事件。國會調查聚焦南韓監管機關是否對在美國上市的公司施加不公平負擔。

在紐約聯邦法院，一起集體訴訟要求 Coupang 賠償懲罰性損害，指控公司未能妥善保護資料，並對外洩規模作出誤導性揭露。這起訴訟代表認為自己因資安失守，以及公司事後淡化事件而蒙受損失的投資人與用戶。

部分在首爾營運的跨國企業私下警告，這次調查動員九個機關、數百名官員，政府跨機關應對的規模前所未見，與國內企業遭遇的處置相比並不尋常。他們以 SK Telecom 於 2025 年發生、影響 2,700 萬筆紀錄的資料外洩事件為例，指出該事件並未引發同等規模的調查，顯示處置方式可能有別。不過，南韓科學技術情報通信部堅決否認偏離法律原則，堅稱 Coupang 遭遇的處置與任何面臨類似違規的企業相同。

總統李在明曾公開承諾，要讓南韓成為全球最佳投資目的地。在強化資料保護執法與維持外資友善環境之間，政府面臨兩難。Coupang 案如今成為觀察首爾如何兼顧消費者隱私保護與國際貿易關係的重要指標。

監管後果與營運風險

除了延遲通報可能面臨的罰鍰，Coupang 還面臨嚴重的監管風險。公平交易委員會警告，可能勒令公司停業；此一重大處分將使公司全面停止營運。委員會也正在進行稅務查核，並已收到針對創辦人金範錫與前任高層的國會陳情。

2026 年 2 月 5 日，Coupang 另行揭露有 16.5 萬筆用戶紀錄遭到外洩，進一步引發民怨，也加深外界對公司最初低估損害程度的印象。

產業分析人士指出，此案為南韓消費平台建立了新的合規基準。政府詳細重建攻擊過程，包括具體存取次數與時間軸分析，顯示主管機關有意制定明確的管控要求，適用於其他大量處理個人資料的企業。

對 Coupang 用戶而言，遭外洩的資料帶來實際安全風險。配送地址、電話號碼與大樓入口密碼，可能讓消費者面臨跟蹤、鎖定式詐騙與人身安全威脅。金融機構能透過停用與監控來減輕支付卡資料外洩的風險，但地址與聯絡資訊一旦外洩，敏感性便會長期存在。此外，用戶帳戶儲存的家人或朋友等第三方地址，也使受影響人數超出 Coupang 直接客戶的範圍。