Vazamento na Coupang, da Coreia do Sul, expõe 33,7 milhões de contas de clientes

O que aconteceu e por que isso importa

A Coupang, a maior plataforma de comércio eletrônico da Coreia do Sul, revelou um amplo vazamento de dados que expôs informações pessoais vinculadas a 33,7 milhões de contas de clientes. Investigadores afirmam que o acesso não autorizado provavelmente começou em junho, por meio de servidores localizados fora do país, e passou despercebido por meses. A dimensão do incidente alcança mais da metade da população nacional, colocando consumidores que fazem compras no dia a dia, famílias e pequenos negócios na mira de possíveis tentativas de fraude que costumam ocorrer após grandes vazamentos de dados pessoais.

A empresa afirma que as informações expostas incluem nomes, números de celular, endereços de e-mail, endereços de entrega e detalhes de alguns pedidos anteriores. Segundo a Coupang, dados de cartões de pagamento, informações bancárias e credenciais de acesso não foram consultados. Mesmo sem dados financeiros, a combinação de informações de contato e histórico de pedidos pode alimentar golpes convincentes que imitam funcionários do suporte ao cliente ou notificações de entrega. Os clientes foram orientados a ficar atentos a ligações, mensagens de texto ou e-mails que peçam códigos, senhas ou dados de pagamento.

A Coupang pediu desculpas e comunicou o incidente às autoridades pouco depois de detectar acessos incomuns que afetavam um pequeno número de contas em meados de novembro. A estimativa inicial, de cerca de 4.500 contas comprometidas, aumentou rapidamente à medida que os investigadores ampliaram o escopo da apuração. A polícia investiga a possibilidade de que um ex-funcionário, atualmente fora do país, tenha participado do caso. Os órgãos reguladores estão apurando se a Coupang violou as regras de proteção de dados e indicaram que haverá sanções caso sejam confirmadas falhas de conformidade.

Como o vazamento aconteceu

Segundo a empresa e autoridades do governo, o vazamento envolveu informações pessoais relacionadas a entregas e parece ter sido causado por acessos feitos por meio de servidores no exterior desde o fim de junho. A Coupang identificou atividades incomuns em 18 de novembro e notificou as autoridades dois dias depois. Após bloquear o caminho suspeito e reforçar o monitoramento interno, a empresa iniciou uma investigação conjunta com especialistas em segurança e forças de segurança. Com o avanço da análise forense, o número de contas afetadas chegou a dezenas de milhões.

As autoridades afirmam que pode ter sido explorada uma vulnerabilidade na forma como determinados servidores eram verificados, o que teria permitido a uma pessoa de fora extrair dados repetidamente sem disparar alertas imediatos. Essa possibilidade, somada a indícios de familiaridade interna com os sistemas, é agora um dos principais focos da investigação. O governo convocou uma reunião de emergência e formou uma equipe conjunta dos setores público e privado para coordenar a análise técnica, o apoio às vítimas e as medidas regulatórias.

O que foi exposto e quais são os riscos

Segundo relatos, o conjunto de dados inclui informações pessoais do dia a dia que as pessoas compartilham para receber entregas: nome, número de celular, endereço de e-mail, endereço de entrega e partes do histórico de pedidos. Números de cartões de pagamento, informações bancárias e senhas não foram incluídos. Essa distinção é importante para o risco financeiro imediato, mas as informações expostas ainda permitem ataques de engenharia social. Golpistas podem se passar por uma loja, uma empresa de logística ou até um banco e pressionar as vítimas a revelar códigos de uso único ou instalar malware.

O phishing por mensagem de texto, muitas vezes chamado de smishing, é uma ameaça comum após grandes vazamentos. Os invasores usam atualizações de entrega ou alertas de conta convincentes para levar as pessoas a páginas falsas de login ou capturar códigos de uso único para assumir o controle de contas. A inclusão de detalhes de pedidos pode tornar as mensagens fraudulentas mais verossímeis. Os clientes devem desconfiar de mensagens e ligações inesperadas, especialmente quando pedem pagamentos, códigos ou acesso remoto a um dispositivo.

Embora a Coupang afirme que nenhuma senha foi roubada, criminosos costumam tentar redefinir senhas usando dados de contato vazados. Fique atento a pedidos de redefinição de senha ou solicitações de verificação que você não iniciou e confirme alterações somente no aplicativo ou site oficial, nunca por meio de um link recebido em uma mensagem. Ative a autenticação de dois fatores, quando disponível. Confira os pedidos recentes e os endereços de entrega salvos para identificar alterações que você não fez.

Quem pode estar por trás do caso

Segundo autoridades a par da investigação, a polícia identificou um suspeito que é ex-funcionário e cidadão estrangeiro. Há relatos de que ele deixou o país. Os investigadores apuram se a pessoa explorou uma falha na verificação dos servidores ou manteve o acesso após sair da empresa. O conhecimento interno pode facilitar a identificação de pontos fracos, sobretudo quando os registros do sistema e as permissões de acesso não são controlados com rigor.

O risco interno vai além da intenção maliciosa. Erros, tokens de acesso que permanecem ativos e demora na revogação de acessos após o desligamento podem expor caminhos para os dados que invasores externos depois exploram. Controles de acesso robustos, renovação e revogação de credenciais, registro contínuo de atividades e monitoramento de comportamento são fundamentais para reduzir esse risco. Os órgãos reguladores ressaltaram a gravidade do vazamento e prometeram uma resposta rápida.

Ao abordar a exposição dos dados de contato de milhões de cidadãos, o Ministério da Ciência e das TIC definiu as expectativas para a investigação.

O órgão afirmou que conduzirá uma investigação rápida e aplicará sanções rigorosas se forem encontradas violações.

Como as autoridades e a Coupang responderam

O governo iniciou uma investigação formal poucos dias após a comunicação inicial e organizou uma equipe de resposta conjunta com as forças de segurança e órgãos técnicos. A Comissão de Proteção de Informações Pessoais está apurando se as regras de proteção de dados foram violadas. A Coupang afirma que bloqueou o caminho de acesso, reforçou o monitoramento interno e está cooperando plenamente. A empresa orientou os clientes a ficar atentos a tentativas de falsidade ideológica e a usar os canais oficiais de comunicação.

A dimensão do vazamento supera a de grandes incidentes ocorridos no início deste ano em uma grande operadora de telefonia móvel, que afetaram mais de 23 milhões de usuários e resultaram em uma multa recorde. Os órgãos reguladores indicaram que as sanções serão rigorosas caso se confirme que os controles eram inadequados. As autoridades também estão avaliando se as orientações do setor sobre segurança de servidores, revogação de acessos após desligamentos e verificação de acesso precisam ser reforçadas.

Por que a certificação não impediu o vazamento

A Coupang possui a certificação ISMS P, o padrão nacional de segurança da informação e proteção de dados pessoais. A empresa obteve a certificação em 2021 e a renovou em 2024. Ainda assim, registrou vários incidentes desde 2020 e foi multada por violações anteriores. Isso intensificou um debate mais amplo sobre o que a certificação realmente garante. As auditorias do ISMS P se concentram em políticas, processos e controles documentados, mas a certificação não é uma garantia contra falhas em tempo real, erros humanos ou abusos internos.

Críticos argumentam que as auditorias podem dar mais ênfase à conformidade documental do que a provas concretas de que os controles funcionam sob pressão. Plataformas complexas dependem de uma extensa rede de microsserviços, integrações com terceiros e grandes equipes. O cenário de riscos pode mudar rapidamente. Os ciclos de certificação, que são periódicos e orientados por listas de verificação, podem deixar passar vulnerabilidades práticas que só aparecem nos sistemas em operação, como tokens de acesso de longa duração, falhas na autenticação de servidores ou correlação incompleta de registros entre ambientes.

As regras de outras jurisdições ajudam a entender a relação entre sanções e prevenção. O Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR) exige privacidade desde a concepção e a comunicação de violações em até 72 horas, além de permitir multas de até 4% da receita global. Nos Estados Unidos, a Comissão Federal de Comércio aplicou multas elevadas a empresas que trataram dados de usuários de forma inadequada ou enganaram consumidores. O Japão reforçou as regras previstas na Lei de Proteção de Informações Pessoais após incidentes de grande repercussão, estabelecendo normas internas de acesso e auditorias mais rigorosas. O sistema da Coreia do Sul é amplamente considerado rigoroso, mas a repetição de grandes incidentes mostra que a fiscalização, o monitoramento e a prevenção ainda precisam acompanhar a rápida evolução dos métodos de ataque e dos riscos internos.

Como o caso se compara a vazamentos anteriores na Coreia

A Coreia do Sul enfrentou vários vazamentos marcantes nas últimas duas décadas. Em 2011, hackers roubaram dados de cerca de 35 milhões de contas de uma grande rede social e portal. Em 2014, empresas de cartão de crédito perderam dezenas de milhões de registros, incluindo números de identificação de residentes e dados de cartões. Casos anteriores atingiram marketplaces online e empresas de energia e, nos últimos anos, operadoras de telefonia móvel também relataram vazamentos. Um incidente recente em uma grande empresa de telecomunicações afetou mais de 23 milhões de usuários e resultou na maior multa já aplicada por violações das leis de proteção de informações pessoais.

O caso da Coupang se destaca pelo tamanho e pelo possível envolvimento de um ex-funcionário. Ele também ocorre após uma série de incidentes menores na empresa, o que aumenta a preocupação pública sobre se as promessas de melhorar a segurança foram de fato cumpridas. A combinação de escala, duração e familiaridade de alguém de dentro com os sistemas representa um teste severo tanto para a governança corporativa quanto para o sistema nacional de proteção de dados.

O que os clientes podem fazer agora

A Coupang afirma que não há indícios de exposição de dados de pagamento ou senhas. Ainda assim, grandes vazamentos costumam levar a golpes que exploram nomes, números de telefone, endereços e detalhes de pedidos. Algumas medidas simples reduzem os riscos e ajudam você a reagir rapidamente caso alguém tente aplicar um golpe.

• Desconfie de ligações, mensagens de texto e e-mails não solicitados, especialmente se pedirem pagamentos, códigos de uso único ou dados da conta.
• Não clique em links de mensagens sobre entregas ou contas. Abra o aplicativo oficial ou digite o endereço do site você mesmo.
• Ative a autenticação de dois fatores nas suas contas, quando disponível.
• Monitore o histórico da conta e a lista de endereços de entrega para identificar alterações que você não fez.
• Use um gerenciador de senhas e evite reutilizar senhas em sites de compras, e-mail e serviços bancários.
• Desconfie de pedidos para instalar programas de assistência remota no seu celular ou computador.
• Entre em contato com o suporte ao cliente pelo aplicativo ou site oficial se receber mensagens suspeitas que aleguem ser da empresa.

Se você acredita que seus dados estão sendo usados indevidamente, denuncie o caso às autoridades e à sua operadora de telefonia móvel. Guarde capturas de tela das mensagens suspeitas e anote os horários e números de telefone. Denúncias rápidas ajudam os investigadores a identificar padrões mais amplos e bloquear domínios e números maliciosos.

Impactos para os negócios e o mercado

Grandes vazamentos costumam gerar custos que vão muito além da correção técnica. As empresas gastam com análise forense, serviços de proteção de identidade, reformulação de sistemas e atendimento ao cliente, além de enfrentar medidas regulatórias e ações judiciais. O impacto na reputação pode durar bastante, sobretudo para plataformas que dependem de compras recorrentes e forte fidelidade à marca. As cobranças por responsabilização já estão aumentando, e as autoridades de proteção de dados afirmaram que considerarão sanções caso sejam comprovadas falhas de conformidade.

A Coupang tem ações negociadas nos Estados Unidos e opera em escala nacional na Coreia do Sul, por isso está sob o escrutínio de vários órgãos reguladores e investidores. É provável que futuros documentos e comunicados se concentrem em mudanças na gestão de acessos, revogação de credenciais, verificação de servidores, correlação de registros e governança das integrações com terceiros. Será necessário investir continuamente em pessoas, processos e tecnologia para reconstruir a confiança e reduzir a possibilidade de uma falha permanecer por meses antes de ser descoberta.

O que saber

• Informações pessoais de 33,7 milhões de contas de clientes da Coupang foram expostas.
• Os dados vazados incluem nomes, números de celular, endereços de e-mail, endereços de entrega e alguns históricos de pedidos.
• Não foram encontrados dados de cartões de pagamento, informações bancárias ou senhas de acesso no conjunto exposto.
• O acesso não autorizado provavelmente começou em junho e passou despercebido até meados de novembro.
• As autoridades investigam um ex-funcionário suspeito e convocaram uma equipe de resposta de emergência.
• O Ministério da Ciência e das TIC alertou que haverá sanções rigorosas se forem confirmadas violações das leis de proteção de dados.
• A Coupang afirma que bloqueou o caminho de acesso e reforçou o monitoramento interno.
• Os clientes foram orientados a desconfiar de ligações, mensagens de texto e e-mails de pessoas que se passam pela empresa.
• O caso intensificou o debate sobre a eficácia de certificações nacionais de segurança, como a ISMS P.
• O vazamento supera incidentes recentes em outras grandes empresas e está entre os maiores já registrados na Coreia do Sul.