Coupang enfrenta investigação e possível multa de um bilião de wons após violação de dados atingir 33,7 milhões

O que aconteceu e porque é importante

A Coreia do Sul foi abalada por uma violação grave na Coupang, o maior retalhista online do país, que expôs informações pessoais associadas a cerca de 33,7 milhões de contas de clientes. A dimensão é extraordinária e afeta aproximadamente dois terços da população nacional. O incidente desencadeou uma resposta abrangente da Presidência, dos reguladores e das forças de segurança, e está já a moldar um novo debate sobre a forma como as empresas protegem os dados pessoais numa economia em rápida digitalização.

A Coupang afirma ter detetado acesso não autorizado a 18 de novembro e tê-lo comunicado às autoridades. Verificações posteriores revelaram que a violação provavelmente começou a 24 de junho, através de servidores localizados no estrangeiro, e prolongou-se durante meses sem ser detetada. A empresa pediu desculpa e está a cooperar com os investigadores. A Coupang diz que os dados de pagamento e as palavras-passe não foram acedidos, mas nomes, endereços de e-mail, números de telefone, endereços de entrega e parte do histórico de encomendas foram expostos.

O Presidente Lee Jae Myung classificou a violação como um alerta para a proteção da privacidade e ordenou aos responsáveis que preparassem sanções mais severas. Ao abrigo da Lei de Proteção de Informações Pessoais, as empresas que não implementem medidas de segurança adequadas podem enfrentar multas até 3% da receita anual. Para uma empresa do tamanho da Coupang, esse limite pode aproximar-se ou exceder um bilião de wons, dependendo da base de receita utilizada no cálculo. A polícia, a Agência de Internet e Segurança da Coreia (KISA) e a Comissão de Proteção de Informações Pessoais (PIPC) lançaram investigações, e as autoridades alertaram o público para estar atento a phishing e fraudes que utilizem indevidamente os dados de contacto divulgados.

Como se desenrolou a violação

As autoridades afirmam que a intrusão começou através de infraestruturas no estrangeiro no final de junho e persistiu até ser descoberta em novembro. Os investigadores estão a seguir a atividade de rede e a analisar a forma como os sistemas da Coupang autenticavam o acesso interno. As conclusões preliminares apontam para fragilidades nos controlos de autenticação. Segundo responsáveis informados sobre o caso, uma chave de autenticação ligada a um antigo trabalhador permaneceu ativa depois de este ter saído, criando uma abertura para o acesso a informações de clientes. A polícia está a examinar se um antigo programador, alegadamente de nacionalidade chinesa e atualmente no estrangeiro, abusou de credenciais ou chaves de assinatura persistentes que deveriam ter sido revogadas.

A Coupang afirma que, desde então, bloqueou a via de acesso, reforçou a monitorização e contratou especialistas independentes de segurança. A empresa também notificou a KISA, a PIPC e a Agência Nacional de Polícia, e está a enviar alertas aos utilizadores afetados. Em paralelo, ministérios do governo formaram uma equipa conjunta para estabelecer a cadeia de acontecimentos e determinar se as salvaguardas exigidas estavam em vigor. O inquérito inclui uma análise de possíveis violações das regras de proteção de informações pessoais.

Porque é que as chaves inativas são perigosas

As plataformas modernas dependem de chaves e tokens que concedem a máquinas e colaboradores permissões limitadas para realizar tarefas específicas. Se uma chave permanecer válida depois de um trabalhador mudar de funções ou sair, pode tornar-se um passe pronto a usar para acesso não autorizado. As boas práticas de segurança exigem acesso com privilégios mínimos, revogação imediata quando as funções mudam e rotação frequente das chaves, para que não permaneçam utilizáveis durante longos períodos. Chaves de longa duração são arriscadas porque uma única falha na revogação ou na monitorização pode expor grandes volumes de dados. Neste caso, os investigadores estão a verificar se credenciais persistentes foram usadas para circular discretamente pelos sistemas ao longo de vários meses.

Reação do governo e riscos legais

A violação passou rapidamente de incidente empresarial a preocupação nacional. A Presidência reuniu altos responsáveis e ordenou propostas para aumentar as sanções e reforçar a proteção dos consumidores. O Ministério da Ciência e TIC, a PIPC e a polícia estão a conduzir um inquérito conjunto que abrange perícia técnica e conformidade com as leis de segurança de dados. A KISA publicou avisos públicos a alertar os cidadãos para estarem vigilantes contra fraudes que possam explorar dados de contacto e informações de entrega divulgados.

Numa reunião do Conselho de Ministros, o Presidente Lee criticou o longo intervalo entre o início da intrusão e a sua descoberta. Apelou a uma responsabilização rápida e a uma mudança de paradigma na forma como as grandes empresas dão prioridade à segurança dos dados dos utilizadores.

O Presidente Lee afirmou que a violação de vários meses sem ser detetada era inaceitável e que as normas de proteção de dados têm de mudar. Pediu sanções mais duras e responsabilização mais rápida. Depois, acrescentou um aviso mais amplo sobre a cultura empresarial em torno da privacidade.

É espantoso que a Coupang não tenha detetado a própria violação durante cinco meses desde o início do incidente. A prática errada e a ideia de não dar o cuidado necessário à proteção dos dados pessoais, que são um ativo fundamental na era da inteligência artificial e da digitalização, têm de mudar completamente.

A exposição legal pode ser significativa. Ao abrigo da lei atual, a multa administrativa máxima é de 3% da receita se os reguladores concluírem que houve falha na implementação de medidas de segurança adequadas. A Coupang reporta dezenas de milhares de milhões de dólares em vendas anuais. Uma penalização de 3% sobre essa base pode atingir centenas de milhares de milhões de wons e, potencialmente, mais de um bilião de wons quando convertida a taxas de câmbio recentes. Os reguladores estão também a analisar as regras de indemnização punitiva e a possibilidade de aumentar ainda mais as sanções por falhas repetidas ou de grande escala.

Os mercados financeiros reagiram à medida que a dimensão se tornou clara. As ações da Coupang caíram depois de a polícia ter confirmado a dimensão da violação e afirmado que estava a rastrear endereços IP e a analisar vulnerabilidades tecnológicas. Os analistas esperam que a perda de clientes seja limitada devido à força de mercado da Coupang, mas alertam que as indemnizações às vítimas e as potenciais sanções poderão originar grandes custos pontuais.

Que informações foram expostas e como se proteger

A Coupang afirma que os dados expostos incluem dados básicos de contacto e entrega e parte do histórico de encomendas. A empresa diz que não tem provas de que números de cartões de crédito, dados bancários ou palavras-passe tenham sido comprometidos. Isso reduz o risco imediato de roubo financeiro direto, mas os dados de contacto e morada divulgados são valiosos para fraudadores que são especialmente hábeis a fazer-se passar por outros.

Que informações foram obtidas

Segundo avisos da empresa e informações oficiais, os campos expostos incluem:

• Nome completo
• Endereço de e-mail
• Telemóvel e outros números de telefone
• Morada de entrega
• Partes do histórico de encomendas

Os criminosos podem usar essa combinação para tornar mensagens e chamadas de phishing convincentes. Um aviso falso de entrega que inclua o seu nome e a morada correta tem mais probabilidade de levar as pessoas a clicar num link malicioso ou a partilhar dados de pagamento. A KISA aconselhou os consumidores a manterem-se atentos a chamadas telefónicas, mensagens de texto e e-mails que pareçam vir da Coupang ou de serviços de estafetas e a evitar clicar em links de mensagens não solicitadas.

Passos práticos para os clientes

• Desconfie de e-mails, mensagens de texto ou chamadas inesperadas que mencionem as suas encomendas ou problemas de entrega. Não clique em links. Vá diretamente à aplicação ou ao site oficial e verifique as notificações aí.
• Ative a verificação em dois passos nas suas contas, quando disponível. Controlos de início de sessão mais fortes limitam os danos se outras informações forem usadas indevidamente.
• Reveja as encomendas recentes e a atividade da conta à procura de algo que não reconheça. Comunique qualquer coisa suspeita ao apoio ao cliente.
• Desconfie de pedidos de pagamento para resolver problemas de entrega. Plataformas de confiança não pedem dados de cartão por mensagem de texto ou telefone.
• Considere usar um gestor de palavras-passe e palavras-passe únicas para cada serviço. Isso reduz o risco de reutilização entre sites.
• Se acreditar que a sua identidade está a ser usada indevidamente, apresente queixa às autoridades e solicite à empresa documentação para quaisquer relatórios necessários.

A Coupang afirmou que está a notificar os utilizadores afetados e que bloqueou a via de acesso que permitiu a intrusão. A empresa reforçou também a monitorização interna e contratou especialistas independentes para ajudar na resposta e remediação.

Impacto empresarial na Coupang e no mercado de compras online

A Coupang é um gigante do retalho sul-coreano, com quase 25 milhões de utilizadores ativos nos últimos trimestres. Expandiu-se para a entrega rápida de bens alimentares, logística e streaming, e opera serviços no Japão e em Taiwan. A empresa afirma que não há provas de que dados da sua unidade de Taiwan ou de outros serviços afiliados fora da Coreia do Sul tenham sido afetados. Ainda assim, o impacto interno é grave, porque a violação atingiu tantos agregados familiares.

Os investidores inicialmente penalizaram as ações à medida que a dimensão da violação se tornou pública e a polícia abriu um inquérito formal. O impacto imediato nas receitas pode ser limitado se a maioria dos clientes permanecer, mas o custo de resposta ao incidente, a potencial indemnização e eventuais sanções podem ser elevados. Se os reguladores aplicarem a percentagem máxima, só a multa poderá aproximar-se da ordem de um bilião de wons, dependendo da base de receita utilizada.

O episódio surge também durante um ano de incidentes cibernéticos de grande visibilidade na Coreia do Sul. Num caso separado, a SK Telecom enfrentou uma multa elevada após uma fuga que afetou dezenas de milhões de assinantes. Outro caso, na Lotte Card, evidenciou como os criminosos visam empresas que detêm dados valiosos sobre identidade e compras. Esses casos antecederam a violação da Coupang e criaram um contexto mais rigoroso para a ação regulatória.

Porque é que as grandes violações continuam a repetir-se na Coreia do Sul

Existe um padrão que combina enormes repositórios de dados, sistemas internos complexos e pressão para avançar rapidamente em mercados online competitivos. Quando uma empresa depende de muitos programadores internos e externos e utiliza numerosos serviços que comunicam entre si, a supervisão pode fragilizar-se. Chaves e tokens podem acumular-se e não expirar conforme previsto. O acesso pode nem sempre ser limitado ao mínimo necessário. Nesse ambiente, uma única chave não revogada ou um servidor mal configurado pode dar a um atacante um caminho claro.

Responsáveis afirmaram que fugas de dados de grande dimensão repetidas desde 2021 apontam para fragilidades estruturais na proteção de informações pessoais. A PIPC impôs recentemente uma multa recorde a um operador de telecomunicações após uma violação que passou despercebida durante anos. No caso da Coupang, os investigadores estão a avaliar se a governação interna e o controlo de acessos ficaram aquém, apesar dos gastos significativos em segurança e TI. Vozes do setor argumentam que o gasto por si só não garante uma proteção forte se a rotação de chaves, a disciplina de auditoria e a gestão do ciclo de vida das credenciais não forem aplicadas no dia a dia.

O governo ordenou uma revisão das indemnizações punitivas e das sanções, sinalizando pressão para mudanças que vão além de uma única empresa. Outras plataformas começaram a realizar verificações e auditorias internas de segurança. A discussão alarga-se agora às equipas de engenharia transfronteiriças, à localização de dados e à questão de saber se as empresas com polos de desenvolvimento no estrangeiro precisam de controlos mais rigorosos ao tratar dados de utilizadores nacionais.

Que regras se aplicam às empresas e o que pode mudar a seguir

Ao abrigo da Lei de Proteção de Informações Pessoais, as empresas devem salvaguardar os dados pessoais com medidas técnicas e administrativas adequadas. Falhas que conduzam a fugas podem desencadear ordens de correção, multas administrativas e pedidos de indemnização. O limite máximo das multas é de 3% da receita, e novas propostas poderão aumentar a responsabilidade em casos de danos graves ou negligência repetida. As autoridades estão também a avaliar se devem apertar os prazos de comunicação, aumentar os testes obrigatórios aos controlos de acesso e exigir provas mais fortes de gestão de chaves e de revogação de acessos quando os trabalhadores saem ou mudam de funções.

Para as grandes plataformas, as lições são simples, mesmo que a execução seja difícil. As chaves e os tokens devem ter tempos de vida curtos. O acesso deve ser limitado ao mínimo privilégio necessário. A revogação de acessos deve ser automática e imediata quando as funções mudam. Os sistemas de alerta e deteção devem assinalar consultas invulgares às bases de dados de utilizadores. Testes periódicos internos de red team e revisões independentes podem ajudar a encontrar pontos cegos. É provável que os reguladores esperem progressos visíveis nestes aspetos básicos como parte de qualquer plano de remediação.

Para os utilizadores, o risco imediato centra-se em fraudes direcionadas, e não no roubo direto de dados de pagamento, com base nas conclusões atuais. Ainda assim, isso pode causar danos reais, sobretudo para pessoas que dependem de mensagens de entrega e notificações móveis no dia a dia. A combinação de um nome correto, uma morada e um detalhe recente de encomenda torna o isco convincente. A educação dos consumidores e passos simples de verificação dentro da aplicação podem atenuar esses ataques se os utilizadores souberem o que procurar.

Em resumo

• Cerca de 33,7 milhões de contas de clientes da Coupang foram expostas, a maior violação na Coreia do Sul em mais de uma década.
• Os dados divulgados incluem nomes, endereços de e-mail, números de telefone, endereços de entrega e parte do histórico de encomendas. Segundo a empresa, dados de pagamento e palavras-passe não foram incluídos.
• Acredita-se que o acesso não autorizado começou a 24 de junho e foi detetado a 18 de novembro.
• As autoridades estão a investigar fragilidades de autenticação e se um antigo trabalhador usou chaves de acesso persistentes.
• O Presidente Lee Jae Myung ordenou sanções mais duras e responsabilização mais rápida, considerando espantoso o intervalo de meses até à deteção.
• Os reguladores podem multar até 3% da receita ao abrigo da lei atual, um nível que pode atingir centenas de milhares de milhões de wons ou mais.
• A KISA emitiu avisos públicos a alertar para tentativas de phishing e fraude que possam explorar os dados de contacto divulgados.
• A polícia, a KISA e a PIPC lançaram uma investigação conjunta, e a Coupang afirma que bloqueou a via de acesso e contratou especialistas externos.
• Escritórios de advogados estão a preparar ações coletivas, e os analistas esperam custos pontuais consideráveis com indemnizações e eventuais sanções.
• O caso soma-se a um ano de grandes violações na Coreia do Sul e é provável que acelere mudanças regulatórias em matéria de proteção de dados e controlo de acessos internos.