A dimensão do vazamento
O Ministério da Ciência e TIC da Coreia do Sul confirmou na terça-feira que 33,67 milhões de registros de usuários foram comprometidos em um megavazamento de dados na Coupang, a principal plataforma de comércio eletrônico do país e uma empresa listada na Nasdaq. O número representa cerca de dois terços da população sul-coreana, de 51 milhões de habitantes, tornando este um dos maiores vazamentos de dados de consumidores da história nacional e afetando uma parcela significativa da população digitalmente ativa.
Conteúdo
A investigação revelou que um ex-funcionário explorou vulnerabilidades de autenticação para acessar nomes e endereços de e-mail de milhões de usuários. Além das informações iniciais das contas, o invasor acessou páginas de listas de entrega 148 milhões de vezes, podendo ter exposto nomes, números de telefone, endereços residenciais e até senhas anonimizadas de entradas de prédios. Como a Coupang permite que os usuários salvem até 20 endereços de entrega por conta, o volume real de dados de localização comprometidos pode superar em muito o número básico de contas, afetando potencialmente familiares e conhecidos dos titulares das contas.
Choi Woo-hyuk, chefe do escritório de política de cibersegurança e redes do ministério, apresentou essas conclusões em uma coletiva do governo em Seul. A confirmação veio quase três meses depois de a Coupang detectar a invasão, em 17 de novembro de 2025, e representa uma escalada significativa em relação às declarações públicas iniciais da empresa. A demora na confirmação pública alimentou especulações de que o anúncio teria sido adiado por preocupações com pressões comerciais dos Estados Unidos e com alegações de políticos americanos de que o governo sul-coreano discrimina empresas dos Estados Unidos. A equipe de investigação negou categoricamente essas acusações.
A equipe de investigação ressaltou que nunca se afastou dos princípios legais nem tratou qualquer empresa de forma diferente, seguindo padrões de divulgação rápida e transparente à medida que os resultados ficavam disponíveis. A declaração respondeu à crescente preocupação de que o caso pudesse estar sendo influenciado por considerações diplomáticas, e não por exigências regulatórias.
Como o ataque aconteceu
O vazamento teve origem dentro da organização. Os investigadores identificaram o invasor como um ex-funcionário da Coupang que havia desenvolvido software de autenticação de usuários durante seu período na empresa. De acordo com a análise do governo, ele roubou uma chave de assinatura de um sistema de autenticação, realizou testes preliminares de ataque entre 5 e 20 de janeiro de 2025 e, em seguida, usou ferramentas de rastreamento da web para extrair dados sistematicamente.
O período do ataque se estendeu de 14 de abril a 8 de novembro de 2025, permitindo que o autor operasse sem ser detectado por quase sete meses. Com a chave de assinatura roubada, o ex-funcionário forjou o que as autoridades descreveram como um passe eletrônico de acesso, contornando completamente os procedimentos padrão de login. Esse método permitiu que ele continuasse acessando os serviços da Coupang mesmo depois de deixar a empresa.
Lee Dong-geun, chefe da Divisão de Resposta a Ameaças Digitais da Agência de Internet e Segurança da Coreia, revelou que os investigadores descobriram que desenvolvedores ainda empregados pela Coupang armazenavam chaves de assinatura em laptops pessoais, contrariando as regras internas que exigiam que essas credenciais permanecessem nos sistemas de gerenciamento. Essa prática criou a vulnerabilidade que permitiu o vazamento.
O invasor acessou a página de edição das informações pessoais para coletar 33.673.817 registros com nomes e endereços de e-mail. Além disso, a página da lista de endereços de entrega foi acessada 148,05 milhões de vezes, enquanto a página de pedidos teve cerca de 100 mil visualizações não autorizadas. Os investigadores confirmaram que o invasor tinha sistemas capazes de transmitir dados para servidores de nuvem no exterior, embora não tenham conseguido verificar se essas transferências realmente ocorreram.
O veredito do governo
As autoridades sul-coreanas fizeram uma avaliação contundente da postura de segurança da Coupang. Choi Woo-hyuk classificou o incidente como uma clara falha de gestão, e não como um ataque externo sofisticado. A equipe de investigação identificou falhas graves na gestão do sistema de autenticação e no controle das chaves de assinatura.
Esta é uma clara falha de gestão da Coupang, não um ataque sofisticado. A equipe identificou deficiências na gestão dos sistemas de autenticação e das chaves de assinatura.
A investigação revelou várias violações de conformidade. A Coupang não informou o vazamento dentro do prazo obrigatório de 24 horas e notificou as autoridades em 19 de novembro, em vez de 18 de novembro, como exigido. Mais grave ainda, a empresa teria violado uma ordem de preservação de dados emitida em 19 de novembro. Apesar das instruções para preservar as evidências, a Coupang não ajustou as políticas de salvamento automático de registros, o que resultou na exclusão dos registros de acesso à web de julho a novembro de 2024 e dos registros de acesso ao aplicativo de 23 de maio a 2 de junho de 2025.
O ministério anunciou que pretende aplicar uma multa administrativa pela comunicação fora do prazo, que pode chegar a 30 milhões de won. Além disso, as autoridades solicitaram uma investigação policial sobre possível obstrução relacionada à destruição de evidências. A Coupang deverá apresentar medidas preventivas ao ministério até o fim deste mês. A implementação está prevista para o período de março a maio, seguida por uma inspeção do governo em junho e julho.
A defesa da Coupang e a realidade
Durante toda a investigação, a Coupang sustentou que, embora 33,7 milhões de contas tenham sido tecnicamente afetadas, os danos reais foram limitados. A empresa afirmou que, segundo o depoimento do invasor, apenas cerca de 3 mil registros foram armazenados no disco rígido dele e posteriormente apagados. Essa posição foi duramente criticada por reguladores e defensores da privacidade, que a veem como uma tentativa de minimizar os danos regulatórios e à reputação.
Choi Woo-hyuk contestou diretamente essa interpretação durante a coletiva. Ele ressaltou que, segundo os padrões sul-coreanos de proteção de dados, o acesso não autorizado a páginas com informações pessoais constitui um vazamento de dados, independentemente de os dados terem sido armazenados localmente ou transmitidos para outro lugar.
Chamar isso de acesso não significa que a responsabilidade seja menor. O número de 3 mil registros é apenas uma alegação da empresa e serve somente como referência. Verificamos todos os materiais de forma independente. Examinamos os servidores da Coupang para determinar a quantidade de dados acessada por invasores externos e a quantidade que foi vazada.
Um representante da Coupang respondeu às conclusões do governo mantendo que os 148 milhões de acessos à página da lista de entregas não indicavam a dimensão do vazamento de informações. O porta-voz caracterizou esses acessos como tentativas de coletar dados pessoais individuais vinculados às 33,7 milhões de contas, e não como evidência de 148 milhões de comprometimentos distintos de dados. Autoridades do governo, porém, rebateram que o enorme volume de solicitações de acesso demonstra a capacidade do invasor de coletar perfis completos de usuários.
A divergência evidencia diferenças fundamentais na forma como empresas e reguladores definem vazamentos de dados. Enquanto a Coupang se concentra na confirmação de que os dados foram armazenados pelo invasor, as autoridades consideram qualquer visualização não autorizada de informações pessoais um vazamento, sobretudo quando há também indícios de sistemas preparados para transmitir dados ao exterior.
Repercussões geopolíticas e pressão jurídica dos EUA
O vazamento deixou de ser um incidente doméstico de cibersegurança e se tornou uma questão bilateral importante entre a Coreia do Sul e os Estados Unidos. Como empresa listada nos Estados Unidos e com apoio expressivo de investidores americanos, a Coupang chamou a atenção de parlamentares dos EUA, que veem a resposta regulatória rigorosa da Coreia do Sul como uma possível ação discriminatória contra uma empresa americana.
O CEO interino Harold Rogers enfrenta crescente pressão jurídica em várias frentes. A polícia sul-coreana interrogou Rogers por cerca de 12 horas sobre acusações de falso testemunho relacionadas ao depoimento sobre o vazamento. Ao mesmo tempo, a Comissão Judiciária da Câmara dos Representantes dos EUA intimou Rogers a depor em 23 de fevereiro de 2026 sobre o incidente. A investigação do Congresso apura se os reguladores coreanos estão impondo exigências injustas a empresas listadas nos Estados Unidos.
Em um tribunal federal de Nova York, uma ação coletiva busca indenizações punitivas contra a Coupang, alegando proteção inadequada de dados e divulgação enganosa sobre a dimensão do vazamento. A ação representa investidores e usuários que afirmam ter sofrido prejuízos em razão das falhas de segurança e da tentativa posterior da empresa de minimizar o incidente.
Algumas multinacionais que operam em Seul alertaram reservadamente que a resposta, envolvendo várias agências do governo, nove órgãos e centenas de autoridades, é sem precedentes em comparação com o tratamento dado a empresas nacionais. Elas citam um vazamento na SK Telecom em 2025, que afetou 27 milhões de registros e não provocou investigações comparáveis, como indício de tratamento desigual. O Ministério da Ciência e TIC, porém, negou firmemente qualquer afastamento dos princípios legais e insistiu que a Coupang recebeu o mesmo tratamento que qualquer empresa diante de violações semelhantes.
O presidente Lee Jae-myung prometeu publicamente tornar a Coreia do Sul o melhor destino de investimentos do mundo, criando tensão entre demonstrar uma aplicação rigorosa das regras de proteção de dados e manter condições favoráveis para o capital estrangeiro. O caso da Coupang agora serve de teste para o equilíbrio que Seul busca entre a proteção da privacidade dos consumidores e as relações comerciais internacionais.
Consequências regulatórias e riscos para os negócios
Além das multas imediatas pela comunicação fora do prazo, a Coupang enfrenta sérios riscos regulatórios. A Comissão de Comércio Justo alertou para a possibilidade de suspensão das atividades, uma medida drástica que paralisaria totalmente as operações da empresa. A comissão também está realizando uma auditoria fiscal e recebeu uma denúncia parlamentar contra o fundador Bom Kim e ex-executivos.
O vazamento também levou a uma divulgação separada em 5 de fevereiro de 2026, que revelou outros 165 mil registros de usuários comprometidos. Esse anúncio adicional intensificou a indignação pública e reforçou a percepção de que as avaliações iniciais da empresa subestimaram os danos.
Analistas do setor observam que o caso estabelece novos parâmetros de conformidade para as plataformas de consumo sul-coreanas. O detalhamento da reconstrução do ataque pelo governo, incluindo números específicos de acessos e a análise da cronologia, indica a intenção de criar requisitos de controle prescritivos aplicáveis a outras empresas que processam grandes volumes de dados pessoais.
Para os usuários da Coupang, os dados comprometidos representam riscos concretos à segurança. Endereços de entrega, números de telefone e senhas de entrada de prédios expõem os clientes a possíveis casos de perseguição, fraudes direcionadas e ameaças à segurança física. Ao contrário dos vazamentos de dados de cartões de pagamento, cujos riscos as instituições financeiras podem reduzir com cancelamento e monitoramento, endereços e dados de contato continuam sensíveis permanentemente. A inclusão de endereços de terceiros, como os de familiares ou amigos salvos nas contas dos usuários, amplia a população afetada para além dos clientes diretos da Coupang.
O essencial
- Foi confirmado o vazamento de dados de 33,67 milhões de contas de usuários da Coupang, o equivalente a cerca de dois terços da população sul-coreana
- Um ex-funcionário roubou chaves de assinatura de autenticação e realizou acessos não autorizados entre abril e novembro de 2025
- O invasor acessou páginas de listas de entrega 148 milhões de vezes, podendo ter exposto endereços, números de telefone e códigos de entrada de prédios
- O Ministério da Ciência e TIC classificou o incidente como uma clara falha de gestão e responsabilizou a Coupang pela comunicação fora do prazo e pela destruição de evidências
- O CEO interino Harold Rogers enfrenta interrogatório policial na Coreia e uma intimação do Congresso dos EUA para 23 de fevereiro de 2026
- Uma ação coletiva nos EUA pede indenizações punitivas em um tribunal federal de Nova York
- A Comissão de Comércio Justo alertou para a possibilidade de suspensão das atividades e está realizando uma auditoria fiscal
- Outros 165 mil registros foram divulgados em 5 de fevereiro de 2026, em separado do vazamento principal
- A Coupang deve apresentar medidas preventivas até o fim do mês, e a inspeção do governo está prevista para junho e julho
