Violação de dados da Coupang na Coreia do Sul expõe 33,7 milhões de contas de clientes

O que aconteceu e porque é importante

A Coupang, a maior plataforma de comércio eletrónico da Coreia do Sul, divulgou uma violação de dados de grande alcance que expôs informações pessoais associadas a 33,7 milhões de contas de clientes. Os investigadores dizem que o acesso não autorizado provavelmente começou em junho, através de servidores localizados fora do país, e passou despercebido durante meses. A escala abrange mais de metade da população nacional, colocando compradores diários, famílias e pequenas empresas na mira de possíveis tentativas de fraude que costumam seguir-se a grandes fugas de dados pessoais.

A empresa afirma que as informações expostas incluem nomes, números de telemóvel, endereços de email, endereços de entrega e detalhes de determinadas encomendas anteriores. Diz que dados de cartões de pagamento, informações bancárias e credenciais de início de sessão não foram acedidos. Mesmo sem dados financeiros, a combinação de informações de contacto e histórico de encomendas pode alimentar fraudes convincentes que imitam funcionários de apoio ao cliente ou notificações de entrega. Os clientes foram instados a manter-se alerta em relação a chamadas, mensagens de texto ou emails que peçam códigos, palavras-passe ou dados de pagamento.

A Coupang pediu desculpa e comunicou o incidente às autoridades pouco depois de detetar acessos invulgares que afetavam um pequeno número de contas em meados de novembro. O número inicial de cerca de 4.500 contas comprometidas cresceu rapidamente à medida que os investigadores ampliaram o âmbito da investigação. A polícia está a analisar a possibilidade de um antigo funcionário, atualmente fora do país, ter desempenhado um papel no sucedido. Os reguladores estão a examinar se a Coupang violou as regras de proteção de dados e sinalizaram que haverá penalizações se forem confirmadas falhas de conformidade.

Como se desenrolou a violação

De acordo com a empresa e responsáveis governamentais, a violação envolveu informações pessoais relacionadas com entregas e parece ter tido origem no acesso através de servidores no estrangeiro desde o final de junho. A Coupang identificou atividade invulgar em 18 de novembro e, dois dias depois, notificou as autoridades. Depois de bloquear a rota suspeita e reforçar a monitorização interna, a empresa iniciou uma investigação conjunta com especialistas em segurança e as forças de segurança. À medida que o trabalho forense avançava, o número de contas afetadas subiu para dezenas de milhões.

As autoridades dizem que pode ter sido explorada uma vulnerabilidade na forma como determinados servidores eram verificados, o que teria permitido a um intruso extrair dados repetidamente sem ativar alarmes imediatos. Essa possibilidade, combinada com indícios de familiaridade de alguém interno com os sistemas, é agora um foco central da investigação. O governo convocou uma reunião de emergência e formou uma equipa público-privada para coordenar a análise técnica, o apoio às vítimas e a ação regulatória.

O que foi exposto e os riscos

O conjunto de dados alegadamente inclui dados pessoais do dia a dia que as pessoas partilham para receber entregas: nome, número de telemóvel, endereço de email, endereço de entrega e partes do histórico de encomendas. Números de cartões de pagamento, informações bancárias e palavras-passe não foram incluídos. Essa distinção é importante para o risco financeiro imediato, mas as informações expostas continuam a permitir engenharia social. Os fraudadores podem fazer-se passar por um retalhista, um parceiro logístico ou até um banco e depois pressionar os alvos a revelar códigos de utilização única ou a instalar software malicioso.

O phishing por mensagem de texto, frequentemente designado smishing, é uma ameaça comum após grandes fugas. Os atacantes usam atualizações de entrega realistas ou alertas de conta para levar as pessoas a páginas de início de sessão falsas ou para capturar códigos de utilização única para assumir o controlo de contas. A inclusão de detalhes de encomendas pode tornar os engodos mais credíveis. Os clientes devem encarar mensagens e chamadas inesperadas com cautela, especialmente se pedirem pagamentos, códigos ou acesso remoto a um dispositivo.

Embora a Coupang afirme que não foram roubadas palavras-passe, os criminosos tentam frequentemente repor palavras-passe utilizando dados de contacto divulgados. Esteja atento a reposições de palavra-passe ou pedidos de verificação não solicitados e confirme alterações apenas na aplicação ou no site oficiais, nunca através de uma ligação numa mensagem. Ative a autenticação de dois fatores sempre que estiver disponível. Reveja as encomendas recentes e os endereços de entrega guardados para detetar alterações que não fez.

Quem poderá estar por detrás disto

A polícia identificou um suspeito que é antigo funcionário e cidadão estrangeiro, segundo responsáveis familiarizados com a investigação. O indivíduo terá deixado o país. Os investigadores estão a analisar se a pessoa explorou uma falha na verificação dos servidores ou manteve acesso depois de sair. O conhecimento interno pode facilitar a descoberta de pontos fracos, sobretudo se os registos de sistema e os privilégios não forem rigorosamente controlados.

O risco interno abrange mais do que intenções maliciosas. Erros, tokens de sistema deixados para trás e processos de saída lentos podem expor caminhos de dados que os atacantes externos depois aproveitam. Controlos de acesso fortes, rotação e revogação de credenciais, registo contínuo e monitorização de comportamento são essenciais para reduzir este risco. Os reguladores sublinharam a gravidade da violação e prometeram uma resposta rápida.

O Ministério da Ciência e TIC, ao abordar a exposição de dados de contacto de milhões de cidadãos, definiu expectativas para a investigação.

Afirmou que será realizada uma investigação rápida e que serão impostas sanções rigorosas se forem encontradas violações.

Como as autoridades e a Coupang responderam

O governo lançou uma investigação formal nos dias seguintes ao relatório inicial e organizou uma equipa de resposta conjunta com as forças de segurança e agências técnicas. A Comissão de Proteção de Informações Pessoais está a examinar se as regras de proteção de dados foram violadas. A Coupang diz que bloqueou a rota de acesso, reforçou a monitorização interna e está a cooperar plenamente. A empresa apelou aos clientes para estarem alerta a tentativas de usurpação de identidade e para utilizarem os canais oficiais de comunicação.

A dimensão da violação ultrapassa incidentes importantes ocorridos no início deste ano numa operadora de telecomunicações líder, que afetaram mais de 23 milhões de utilizadores e deram origem a uma coima recorde. Os reguladores sinalizaram que as penalizações serão rigorosas se os controlos forem considerados inadequados. As autoridades estão também a analisar se as orientações do setor sobre segurança de servidores, processos de saída e verificação de acessos precisam de ser reforçadas.

Porque é que a certificação não conseguiu evitar isto

A Coupang detém a certificação ISMS P, a certificação nacional de segurança da informação e proteção de dados pessoais. A empresa obteve a certificação em 2021 e renovou-a em 2024. Ainda assim, registou vários incidentes desde 2020 e foi multada por violações anteriores. Isto intensificou um debate mais amplo sobre o que a certificação garante realmente. As auditorias ISMS P centram-se em políticas, processos e controlos documentados, mas a certificação não é uma garantia contra falhas em tempo real, erro humano ou abuso interno.

Os críticos argumentam que as auditorias podem dar prioridade a conformidade documental em detrimento de provas concretas de que os controlos funcionam sob pressão. As plataformas complexas dependem de microsserviços dispersos, integrações de terceiros e equipas numerosas. O panorama de risco pode mudar rapidamente. Os ciclos de certificação, que são periódicos e baseados em listas de verificação, podem não detetar fraquezas práticas que só se manifestam em sistemas em funcionamento, por exemplo tokens de acesso de longa duração, falhas na autenticação de servidores ou correlação incompleta de registos entre ambientes.

Outras jurisdições fornecem contexto sobre a forma como as penalizações e a prevenção interagem. O Regulamento Geral sobre a Proteção de Dados (RGPD) da União Europeia exige privacidade desde a conceção e a comunicação de violações no prazo de 72 horas, e permite coimas até 4 por cento do volume de negócios global. Nos Estados Unidos, a Comissão Federal de Comércio impôs grandes penalizações a empresas que trataram mal dados de utilizadores ou induziram consumidores em erro. O Japão reforçou as regras ao abrigo da Lei de Proteção de Informações Pessoais após incidentes de grande visibilidade, acrescentando regras internas de acesso mais fortes e auditorias. O sistema da Coreia do Sul é amplamente considerado rigoroso, mas incidentes graves repetidos mostram que a aplicação da lei, a monitorização e a prevenção ainda precisam de acompanhar métodos de ataque em rápida mudança e o risco interno.

Como isto se compara com fugas de dados anteriores na Coreia

A Coreia do Sul enfrentou várias violações marcantes nas últimas duas décadas. Em 2011, hackers roubaram dados de cerca de 35 milhões de contas numa grande rede social e portal. Em 2014, empresas de cartões de crédito perderam dezenas de milhões de registos que incluíam números de residente e dados de cartões. Casos anteriores atingiram mercados online e empresas de energia e, nos últimos anos, operadoras de telecomunicações também comunicaram violações. Um incidente recente numa operadora de telecomunicações líder afetou mais de 23 milhões de utilizadores e originou a maior coima até à data por violações das leis de informação pessoal.

O caso Coupang destaca-se pela dimensão e pelo papel suspeito de um antigo elemento interno. Surge também após uma série de incidentes menores na empresa, o que reforça a preocupação pública quanto a saber se as promessas de melhorar a segurança produziram efeitos. A combinação de escala, duração e familiaridade interna com os sistemas é um teste severo tanto para a governação empresarial como para o quadro nacional de proteção de dados.

O que os clientes podem fazer agora

A Coupang afirma que não há indícios de que dados de pagamento ou palavras-passe tenham sido expostos. Ainda assim, grandes fugas conduzem frequentemente a fraudes que exploram nomes, números de telefone, endereços e detalhes de encomendas. Alguns passos simples reduzem o risco e ajudam-no a reagir rapidamente se for alvo de alguém.

• Encarar chamadas, mensagens de texto e emails não solicitados com cautela, sobretudo se pedirem pagamentos, códigos de utilização única ou dados de conta.
• Não clicar em ligações em mensagens de entrega ou de conta. Abrir a aplicação oficial ou escrever o endereço do site diretamente.
• Ativar a autenticação de dois fatores nas contas, sempre que estiver disponível.
• Monitorizar o histórico da conta e a lista de endereços de entrega para detetar alterações que não fez.
• Utilizar um gestor de palavras-passe e evitar reutilizar palavras-passe entre compras, email e banca.
• Desconfiar de pedidos para instalar software de assistência remota no telefone ou no computador.
• Contactar o apoio ao cliente através da aplicação ou do site oficiais se receber mensagens suspeitas que aleguem ser da empresa.

Se acreditar que os seus dados estão a ser utilizados indevidamente, comunique-o às autoridades e à sua operadora de telecomunicações. Guarde capturas de ecrã das mensagens suspeitas e anote as horas e os números de telefone. Uma comunicação rápida ajuda os investigadores a identificar padrões mais amplos e a bloquear domínios e números maliciosos.

Impacto empresarial e de mercado

As grandes violações acarretam frequentemente custos muito para além da limpeza técnica. As empresas gastam em perícia forense, serviços de proteção de identidade, redesenho de sistemas e apoio ao cliente, ao mesmo tempo que lidam com ação regulatória e reivindicações legais. O impacto reputacional pode persistir, sobretudo em plataformas que dependem de compras repetidas e de forte lealdade à marca. Os apelos à responsabilização já estão a crescer, e as autoridades de proteção de dados afirmaram que considerarão sanções se forem provadas falhas de conformidade.

A Coupang está cotada nos Estados Unidos e opera à escala nacional na Coreia do Sul, pelo que enfrenta o escrutínio de vários reguladores e investidores. Futuras comunicações e apresentações de resultados provavelmente centrar-se-ão em alterações à gestão de acessos, revogação de credenciais, verificação de servidores, correlação de registos e governação de integrações de terceiros. Será necessário um investimento sustentado em pessoas, processos e tecnologia para reconstruir a confiança e reduzir a probabilidade de uma falha persistir durante meses antes de ser detetada.

O que deve saber

• Informações pessoais de 33,7 milhões de contas de clientes da Coupang foram expostas.
• Os dados divulgados incluem nomes, números de telemóvel, endereços de email, endereços de entrega e alguns históricos de encomendas.
• Não foram encontrados dados de cartões de pagamento, dados bancários ou palavras-passe de início de sessão no conjunto exposto.
• O acesso não autorizado provavelmente começou em junho e passou despercebido até meados de novembro.
• As autoridades estão a investigar um antigo funcionário suspeito e constituíram uma equipa de resposta de emergência.
• O Ministério da Ciência e TIC avisou que haverá sanções rigorosas se forem confirmadas violações das leis de proteção de dados.
• A Coupang diz que a rota de acesso foi bloqueada e a monitorização interna reforçada.
• Os clientes são instados a ter cautela com chamadas telefónicas, mensagens de texto e emails que se façam passar pela empresa.
• O caso intensificou o debate sobre a eficácia de certificações nacionais de segurança como a ISMS P.
• A violação ultrapassa incidentes recentes noutras grandes empresas e é uma das maiores alguma vez comunicadas na Coreia do Sul.