Coupang enfrenta investigação e multa potencial de 1 trilhão de won após vazamento de dados afetar 33,7 milhões de contas

O que aconteceu e por que isso importa

A Coreia do Sul foi abalada por uma grave violação de dados na Coupang, a maior varejista on-line do país, que expôs informações pessoais vinculadas a cerca de 33,7 milhões de contas de clientes. A dimensão é extraordinária: o incidente afetou aproximadamente dois terços da população do país. O caso provocou uma ampla resposta da Presidência, dos órgãos reguladores e das forças de segurança, e já está alimentando um novo debate sobre como as empresas protegem dados pessoais em uma economia que se digitaliza rapidamente.

A Coupang afirma ter detectado o acesso não autorizado em 18 de novembro e comunicado o caso às autoridades. Verificações posteriores revelaram que a invasão provavelmente começou em 24 de junho, por meio de servidores localizados no exterior, e continuou por meses sem ser percebida. A empresa pediu desculpas e está cooperando com os investigadores. Segundo a Coupang, dados de pagamento e senhas não foram acessados, mas foram expostos nomes, endereços de e-mail, números de telefone, endereços de entrega e parte do histórico de pedidos.

O presidente Lee Jae Myung classificou o vazamento como um alerta para a proteção da privacidade e determinou que autoridades preparem punições mais rigorosas. Nos termos da Lei de Proteção de Informações Pessoais, empresas que não adotarem medidas de segurança adequadas podem receber multas de até 3% da receita anual. Para uma empresa do porte da Coupang, esse limite pode se aproximar ou ultrapassar 1 trilhão de won, dependendo da base de receita usada no cálculo. A polícia, a Agência de Internet e Segurança da Coreia (KISA) e a Comissão de Proteção de Informações Pessoais (PIPC) abriram investigações, e as autoridades alertaram a população para ficar atenta a tentativas de phishing e golpes que usem os dados de contato vazados.

Como o vazamento aconteceu

Segundo as autoridades, a invasão começou por meio de uma infraestrutura no exterior no fim de junho e persistiu até ser descoberta em novembro. Os investigadores estão rastreando a atividade na rede e analisando como os sistemas da Coupang autenticavam o acesso interno. As primeiras conclusões apontam falhas nos controles de autenticação. De acordo com autoridades informadas sobre o caso, uma chave de autenticação vinculada a um ex-funcionário continuou ativa depois que ele deixou a empresa, abrindo caminho para o acesso a informações de clientes. A polícia investiga se um ex-desenvolvedor, que, segundo relatos, é cidadão chinês e está atualmente no exterior, usou credenciais ou chaves de assinatura que deveriam ter sido revogadas.

A Coupang afirma que bloqueou a via de acesso, ampliou o monitoramento e contratou especialistas independentes em segurança. A empresa também notificou a KISA, a PIPC e a Agência Nacional de Polícia, além de enviar alertas aos usuários afetados. Paralelamente, ministérios do governo formaram uma equipe conjunta para reconstituir a sequência dos acontecimentos e determinar se as salvaguardas exigidas estavam em vigor. A investigação inclui uma análise de possíveis violações das regras de proteção de informações pessoais.

Por que chaves inativas são perigosas

As plataformas modernas dependem de chaves e tokens que concedem a sistemas e funcionários permissões limitadas para executar tarefas específicas. Se uma chave continuar válida depois que um funcionário mudar de função ou sair da empresa, ela pode se tornar um passe pronto para permitir acessos não autorizados. As boas práticas de segurança exigem acesso com privilégios mínimos, revogação imediata quando as funções mudam e rotação frequente das chaves, para que elas não permaneçam utilizáveis por longos períodos. Chaves de longa duração são arriscadas porque uma única falha na revogação ou no monitoramento pode expor grandes volumes de dados. Neste caso, os investigadores apuram se credenciais que deveriam ter sido desativadas foram usadas para circular discretamente pelos sistemas durante vários meses.

Reação do governo e consequências jurídicas

O vazamento passou rapidamente de um incidente corporativo a uma questão de interesse nacional. A Presidência reuniu altos funcionários e ordenou a elaboração de propostas para aumentar as punições e reforçar a proteção dos consumidores. O Ministério da Ciência e das TIC, a PIPC e a polícia conduzem uma investigação conjunta que abrange perícia técnica e cumprimento das leis de segurança de dados. A KISA publicou alertas para a população, recomendando cautela com golpes que possam explorar os dados de contato e as informações de entrega vazadas.

Em uma reunião de gabinete, o presidente Lee criticou o longo intervalo entre o início da invasão e sua descoberta. Ele pediu responsabilização rápida e uma mudança na forma como as grandes empresas priorizam a segurança dos dados dos usuários.

O presidente Lee afirmou que era inaceitável que o vazamento tivesse passado despercebido por meses e que as normas de proteção de dados precisavam mudar. Ele pediu sanções mais severas e responsabilização mais rápida. Em seguida, fez um alerta mais amplo sobre a cultura corporativa em relação à privacidade.

É espantoso que a Coupang nem sequer tenha detectado a própria violação durante cinco meses, desde o início do incidente. A prática equivocada e a ideia de não dedicar o cuidado necessário à proteção de dados pessoais, que são um ativo fundamental na era da inteligência artificial e da digitalização, precisam mudar completamente.

A exposição jurídica pode ser significativa. Pela legislação atual, a multa administrativa máxima é de 3% da receita se os órgãos reguladores concluírem que não foram adotadas medidas de segurança adequadas. A Coupang informa vendas anuais de dezenas de bilhões de dólares. Uma penalidade de 3% sobre essa base pode chegar a centenas de bilhões de won e, possivelmente, ultrapassar 1 trilhão de won, considerando as taxas de câmbio recentes. Os órgãos reguladores também estão analisando as regras de indenização punitiva e a possibilidade de aumentar ainda mais as punições por falhas repetidas ou de grande escala.

Os mercados financeiros reagiram à medida que a dimensão do caso ficou clara. As ações da Coupang caíram depois que a polícia confirmou o tamanho do vazamento e informou que rastreava endereços IP e analisava vulnerabilidades tecnológicas. Analistas esperam que a perda de clientes seja limitada devido à força da Coupang no mercado, mas alertam que indenizações às vítimas e possíveis penalidades podem gerar grandes custos extraordinários.

Quais informações foram expostas e como se proteger

A Coupang afirma que os dados expostos incluem informações básicas de contato e entrega, além de parte do histórico de pedidos. A empresa diz não haver indícios de que números de cartão de crédito, dados bancários ou senhas tenham sido comprometidos. Isso reduz o risco imediato de roubo financeiro direto, mas os dados de contato e endereço vazados são valiosos para golpistas especializados em se passar por outras pessoas.

Quais informações foram obtidas

Segundo comunicados da empresa e informações divulgadas por autoridades, os dados expostos incluem:

• Nome completo
• Endereço de e-mail
• Número de celular e outros telefones
• Endereço de entrega
• Partes do histórico de pedidos

Criminosos podem usar essa combinação para tornar convincentes mensagens e ligações de phishing. Um falso aviso de entrega que inclui seu nome e o endereço correto tem mais chances de levar alguém a clicar em um link malicioso ou compartilhar dados de pagamento. A KISA orientou os consumidores a ficarem atentos a ligações, mensagens de texto e e-mails que pareçam vir da Coupang ou de empresas de entrega, e a evitar clicar em links de mensagens não solicitadas.

Medidas práticas para clientes

• Desconfie de e-mails, mensagens de texto ou ligações inesperadas que mencionem seus pedidos ou problemas com entregas. Não clique em links. Acesse diretamente o aplicativo ou site oficial e confira as notificações por lá.
• Ative a verificação em duas etapas nas contas em que esse recurso estiver disponível. Verificações de acesso mais robustas limitam os danos caso outras informações sejam usadas indevidamente.
• Confira os pedidos recentes e a atividade da conta em busca de itens que não reconheça. Comunique qualquer atividade suspeita ao atendimento ao cliente.
• Desconfie de pedidos de pagamento para resolver problemas de entrega. Plataformas confiáveis não solicitam dados do cartão por mensagem de texto ou telefone.
• Considere usar um gerenciador de senhas e senhas exclusivas para cada serviço. Isso reduz o risco de reutilização entre sites.
• Se acreditar que sua identidade está sendo usada indevidamente, registre uma denúncia junto às autoridades e solicite à empresa documentos necessários para eventuais registros.

A Coupang afirmou que está notificando os usuários afetados e bloqueou a via de acesso que possibilitou a invasão. A empresa também reforçou o monitoramento interno e contratou especialistas independentes para ajudar na resposta e na correção dos problemas.

Impacto nos negócios da Coupang e no mercado de compras on-line

A Coupang é uma gigante do varejo coreano, com quase 25 milhões de usuários ativos nos últimos trimestres. A empresa expandiu suas operações para a entrega rápida de alimentos, logística e streaming, e mantém serviços no Japão e em Taiwan. A Coupang afirma não haver indícios de que dados de sua unidade em Taiwan ou de outros serviços afiliados fora da Coreia do Sul tenham sido afetados. Ainda assim, o impacto no país é grave, pois o vazamento atingiu um número muito grande de famílias.

Investidores inicialmente fizeram as ações cair à medida que a dimensão do vazamento se tornou pública e a polícia abriu uma investigação formal. O impacto imediato na receita pode ser limitado se a maioria dos clientes permanecer na plataforma, mas os custos para lidar com o incidente, as possíveis indenizações e eventuais penalidades podem ser elevados. Se os órgãos reguladores aplicarem o percentual máximo, a multa, por si só, poderá se aproximar de 1 trilhão de won, dependendo da base de receita usada.

O episódio também ocorre em um ano marcado por incidentes cibernéticos de grande repercussão na Coreia do Sul. Em um caso separado, a SK Telecom recebeu uma multa elevada após um vazamento que afetou dezenas de milhões de assinantes. Outro caso, envolvendo a Lotte Card, mostrou como criminosos visam empresas que detêm grandes volumes de dados sobre identidade e compras. Esses casos antecederam o vazamento da Coupang e criaram um cenário mais rigoroso para a atuação dos órgãos reguladores.

Por que grandes vazamentos continuam acontecendo na Coreia do Sul

Há um padrão que combina grandes volumes de dados armazenados, sistemas internos complexos e pressão para agir rapidamente em mercados on-line competitivos. Quando uma empresa depende de muitos desenvolvedores internos e externos e usa inúmeros serviços que se comunicam entre si, a supervisão pode se fragilizar. Chaves e tokens podem se acumular e não expirar no prazo previsto. O acesso nem sempre fica limitado ao mínimo necessário. Nesse cenário, uma única chave não revogada ou um servidor mal configurado pode abrir um caminho direto para um invasor.

Autoridades afirmaram que os grandes vazamentos recorrentes desde 2021 apontam para fragilidades estruturais na proteção de informações pessoais. Recentemente, a PIPC aplicou uma multa recorde a uma operadora de telecomunicações após um vazamento que passou despercebido por anos. No caso da Coupang, os investigadores avaliam se a governança interna e os controles de acesso foram insuficientes, apesar dos investimentos significativos em segurança e tecnologia da informação. Representantes do setor argumentam que o volume de gastos, por si só, não garante uma proteção sólida se a rotação de chaves, o rigor nas auditorias e a gestão do ciclo de vida das credenciais não forem aplicados no dia a dia.

O governo ordenou uma revisão das indenizações punitivas e das penalidades, sinalizando pressão por mudanças que vão além de uma única empresa. Outras plataformas começaram a fazer verificações internas de segurança e auditorias. O debate agora abrange equipes de engenharia transnacionais, localização de dados e a necessidade de controles mais rigorosos para empresas com centros de desenvolvimento no exterior que lidam com dados de usuários no país.

Quais regras se aplicam às empresas e o que pode mudar

Pela Lei de Proteção de Informações Pessoais, as empresas devem proteger dados pessoais com medidas técnicas e administrativas adequadas. Falhas que levam a vazamentos podem resultar em ordens corretivas, multas administrativas e pedidos de indenização. O limite das multas é de 3% da receita, e novas propostas podem ampliar a responsabilidade nos casos de danos graves ou negligência repetida. As autoridades também avaliam se devem reduzir os prazos para notificação de incidentes, ampliar os testes obrigatórios de controles de acesso e exigir provas mais robustas da gestão de chaves e da remoção de acessos quando funcionários saem da empresa ou mudam de função.

Para grandes plataformas, as lições são simples, embora difíceis de colocar em prática. Chaves e tokens devem ter validade curta. O acesso deve se limitar ao mínimo de privilégios necessário. A remoção de acessos deve ser automática e imediata quando as funções mudarem. Sistemas de alerta e detecção devem sinalizar consultas incomuns a bancos de dados de usuários. Testes periódicos internos de equipes de segurança e avaliações independentes podem ajudar a identificar pontos cegos. É provável que os órgãos reguladores esperem avanços concretos nessas medidas básicas como parte de qualquer plano de correção.

Para os usuários, o risco imediato está concentrado em golpes direcionados, e não no roubo direto de dados de pagamento, segundo as conclusões atuais. Ainda assim, isso pode causar danos reais, especialmente para quem depende de mensagens de entrega e notificações no celular no dia a dia. A combinação de nome, endereço e detalhes de pedidos recentes corretos forma uma isca convincente. Informar os consumidores e oferecer etapas simples de verificação no aplicativo pode reduzir esses ataques, desde que os usuários saibam o que observar.

Em resumo

• Cerca de 33,7 milhões de contas de clientes da Coupang foram expostas, no maior vazamento de dados da Coreia do Sul em mais de uma década.
• Os dados vazados incluem nomes, endereços de e-mail, números de telefone, endereços de entrega e parte do histórico de pedidos. Segundo a empresa, dados de pagamento e senhas não foram incluídos.
• O acesso não autorizado teria começado em 24 de junho e foi detectado em 18 de novembro.
• As autoridades investigam falhas de autenticação e a possibilidade de um ex-funcionário ter usado chaves de acesso que continuavam ativas.
• O presidente Lee Jae Myung determinou punições mais severas e responsabilização mais rápida, classificando como espantoso o intervalo de meses até a descoberta do vazamento.
• Pela legislação atual, os órgãos reguladores podem aplicar multas de até 3% da receita, valor que pode chegar a centenas de bilhões de won ou mais.
• A KISA publicou alertas à população sobre tentativas de phishing e golpes que podem explorar os dados de contato vazados.
• A polícia, a KISA e a PIPC abriram uma investigação conjunta, e a Coupang afirma que bloqueou a via de acesso e contratou especialistas externos.
• Escritórios de advocacia estão preparando ações coletivas, e analistas esperam custos extraordinários significativos com indenizações e eventuais penalidades.
• O caso se soma a um ano de grandes vazamentos na Coreia do Sul e deve acelerar mudanças regulatórias na proteção de dados e nos controles de acesso interno.