A escala da violação
O Ministério da Ciência e das TIC da Coreia do Sul confirmou na terça-feira que 33,67 milhões de registos de utilizadores foram comprometidos numa enorme violação de dados na Coupang, a plataforma de comércio eletrónico dominante no país e uma empresa cotada na Nasdaq. O número representa cerca de dois terços da população sul-coreana, de 51 milhões de pessoas, tornando esta uma das maiores violações de dados de consumidores da história nacional e afetando uma parte significativa da população digitalmente ativa.
Índice
A investigação revelou que um antigo funcionário explorou vulnerabilidades de autenticação para aceder a nomes e endereços de email de milhões de utilizadores. Além das informações iniciais da conta, o atacante acedeu 148 milhões de vezes a páginas da lista de entregas, potencialmente expondo nomes, números de telefone, endereços físicos e até palavras-passe anonimizadas de entrada em apartamentos. Uma vez que a Coupang permite aos utilizadores guardar até 20 endereços de entrega por conta, o volume real de dados de localização comprometidos pode ultrapassar em muito a contagem base de contas, afetando potencialmente familiares e associados dos titulares das contas principais.
Choi Woo-hyuk, que dirige o gabinete de cibersegurança e política de rede do ministério, apresentou estas conclusões numa conferência de imprensa do governo em Seul. A confirmação surgiu quase três meses depois de a Coupang ter detetado a intrusão pela primeira vez, a 17 de novembro de 2025, e marca uma escalada significativa em relação às declarações públicas iniciais da empresa. O atraso na confirmação pública tinha alimentado especulações de que o anúncio foi adiado devido a preocupações com pressão comercial dos Estados Unidos e alegações de políticos americanos de que o governo sul-coreano discrimina empresas dos Estados Unidos, alegações que a equipa de investigação negou categoricamente.
A equipa de investigação sublinhou que nunca se desviou dos princípios legais e não tratou qualquer empresa de forma diferente, aderindo a padrões de divulgação rápida e transparente à medida que os resultados ficavam disponíveis. Esta declaração respondia a preocupações crescentes de que o caso pudesse ser influenciado por considerações diplomáticas em vez de requisitos regulatórios.
Como o ataque se desenrolou
A violação teve origem no interior da organização. Os investigadores identificaram o atacante como um antigo funcionário da Coupang que tinha desenvolvido software de autenticação de utilizadores durante o seu mandato. De acordo com a análise do governo, este indivíduo roubou uma chave de assinatura de um sistema de autenticação, realizou testes preliminares de ataque entre 5 e 20 de janeiro de 2025 e, subsequentemente, implementou ferramentas de rastreamento web para extrair dados de forma sistemática.
A janela do ataque estendeu-se de 14 de abril a 8 de novembro de 2025, permitindo ao perpetrador operar sem ser detetado durante quase sete meses. Usando a chave de assinatura roubada, o antigo funcionário falsificou aquilo que os responsáveis descreveram como um passe eletrónico de acesso, contornando completamente os procedimentos padrão de início de sessão. Este método permitiu o acesso contínuo aos serviços da Coupang mesmo depois de o indivíduo ter deixado a empresa.
Lee Dong-geun, responsável pela Divisão de Resposta a Ameaças Digitais da Agência de Segurança e Internet da Coreia, revelou que os investigadores descobriram que programadores atuais da Coupang guardavam chaves de assinatura em portáteis pessoais, contrariando as regras internas que exigem que essas credenciais permaneçam nos sistemas de gestão. Esta prática criou a vulnerabilidade que permitiu a violação.
O atacante acedeu à página Editar as Minhas Informações para recolher 33 673 817 registos contendo nomes e endereços de email. Além disso, a página da lista de endereços de entrega foi acedida 148,05 milhões de vezes, enquanto a página da lista de encomendas registou aproximadamente 100 000 visualizações não autorizadas. Os investigadores confirmaram que o atacante possuía sistemas capazes de transmitir dados para servidores na nuvem no estrangeiro, embora não tenham conseguido verificar se tais transferências ocorreram efetivamente.
O veredicto do governo
As autoridades sul-coreanas fizeram uma avaliação arrasadora da postura de segurança da Coupang. Choi Woo-hyuk caracterizou o incidente como uma clara falha de gestão, e não um ataque externo sofisticado. A equipa de investigação identificou falhas críticas na gestão do sistema de autenticação e nos controlos das chaves de assinatura.
Isto é uma clara falha de gestão da Coupang, não um ataque sofisticado. A equipa identificou falhas na gestão dos sistemas de autenticação e das chaves de assinatura.
A investigação revelou múltiplas violações de conformidade. A Coupang não comunicou a violação dentro do prazo obrigatório de 24 horas, notificando as autoridades a 19 de novembro em vez do exigido 18 de novembro. Mais grave, a empresa alegadamente violou uma ordem de preservação de dados emitida a 19 de novembro. Apesar das instruções para manter provas, a Coupang não ajustou as políticas de conservação automática de registos, resultando na eliminação de registos de acesso web de julho a novembro de 2024 e de registos de acesso à aplicação de 23 de maio a 2 de junho de 2025.
O ministério anunciou planos para aplicar coimas administrativas pela violação relativa à comunicação tardia, que podem chegar a 30 milhões de won. Além disso, os responsáveis pediram às autoridades policiais que investigassem uma possível obstrução relacionada com a destruição de provas. A Coupang deve agora apresentar medidas preventivas ao ministério até ao final do mês corrente, com implementação prevista para março a maio, seguida de inspeção governamental em junho e julho.
A defesa da Coupang versus a realidade
Ao longo da investigação, a Coupang defendeu que, embora 33,7 milhões de contas tenham sido tecnicamente afetadas, os danos reais foram limitados. A empresa afirmou que, com base no testemunho do atacante, apenas cerca de 3 000 registos foram armazenados no disco rígido do perpetrador e subsequentemente eliminados. Esta posição atraiu críticas severas de reguladores e defensores da privacidade, que a veem como uma tentativa de minimizar danos regulatórios e reputacionais.
Choi Woo-hyuk contestou diretamente esta interpretação durante a sua apresentação. Sublinhou que, segundo as normas sul-coreanas de proteção de dados, o acesso não autorizado a páginas de informações pessoais constitui uma violação de dados, independentemente de os dados terem sido armazenados localmente ou transmitidos para outro local.
Chamar-lhe um acesso não significa menos responsabilidade. O número de 3 000 registos é apenas uma alegação da empresa e serve somente como referência. Verificámos todos os materiais de forma independente. Examinámos os servidores da Coupang para determinar quantos dados foram acedidos por atacantes externos e quantos foram divulgados.
Um representante da Coupang respondeu às conclusões do governo, mantendo que os 148 milhões de acessos à página da lista de entregas não indicavam a escala da violação de informações. O porta-voz caracterizou-os como tentativas de recolher dados pessoais individuais ligados às 33,7 milhões de contas, em vez de provas de 148 milhões de comprometimentos de dados separados. No entanto, responsáveis governamentais contra-argumentaram que o simples volume de pedidos de acesso demonstra a capacidade do atacante para recolher perfis completos de utilizadores.
A discrepância realça diferenças fundamentais na forma como empresas e reguladores definem violações de dados. Enquanto a Coupang se concentra no armazenamento confirmado de dados pelo atacante, as autoridades tratam qualquer visualização não autorizada de informações pessoais como um evento de fuga, especialmente quando combinada com provas de sistemas concebidos para transmissão de dados para o estrangeiro.
Consequências geopolíticas e pressão jurídica dos EUA
A violação evoluiu de um incidente nacional de cibersegurança para uma questão bilateral significativa entre a Coreia do Sul e os Estados Unidos. Sendo uma empresa cotada nos Estados Unidos com um apoio substancial de investidores americanos, a Coupang atraiu a atenção de legisladores norte-americanos que veem a resposta regulatória agressiva da Coreia do Sul como um possível direcionamento discriminatório contra uma empresa americana.
O diretor-executivo interino, Harold Rogers, enfrenta uma pressão jurídica crescente em várias frentes. A polícia sul-coreana interrogou Rogers durante aproximadamente 12 horas sobre alegações de perjúrio relacionadas com o testemunho sobre a violação. Simultaneamente, a Comissão Judiciária da Câmara dos Representantes dos EUA intimou Rogers a testemunhar a 23 de fevereiro de 2026 sobre o incidente. O inquérito do Congresso examina se os reguladores coreanos estão a impor encargos injustos a empresas cotadas nos Estados Unidos.
Num tribunal federal de Nova Iorque, uma ação coletiva procura indemnizações punitivas contra a Coupang, alegando proteção de dados inadequada e divulgações enganosas sobre a dimensão da violação. A ação judicial representa investidores e utilizadores que afirmam ter sofrido perdas devido a falhas de segurança e ao subsequente menosprezo do incidente pela empresa.
Algumas empresas multinacionais que operam em Seul alertaram, em privado, que a resposta que abrange vários organismos governamentais, envolvendo nove agências e centenas de funcionários, é inédita em comparação com o tratamento dado a empresas nacionais. Citam uma violação de 2025 na SK Telecom que afetou 27 milhões de registos, e que não desencadeou investigações comparáveis, como prova de tratamento diferenciado. No entanto, o Ministério da Ciência e das TIC negou firmemente qualquer desvio aos princípios legais, insistindo que a Coupang recebeu tratamento idêntico ao de qualquer empresa que enfrente violações semelhantes.
O Presidente Lee Jae-myung prometeu publicamente tornar a Coreia do Sul o melhor destino de investimento do mundo, criando tensão entre demonstrar uma aplicação rigorosa da proteção de dados e manter condições favoráveis ao capital estrangeiro. O caso Coupang serve agora como um caso-teste para saber como Seul equilibra a proteção da privacidade dos consumidores com as relações comerciais internacionais.
Consequências regulatórias e riscos empresariais
Além das coimas imediatas pela comunicação tardia, a Coupang enfrenta um risco regulatório severo. A Comissão Federal do Comércio (FTC) advertiu para uma possível suspensão da atividade, uma medida drástica que paralisaria totalmente as operações da empresa. A comissão está também a realizar uma auditoria fiscal e recebeu uma queixa parlamentar contra o fundador Bom Kim e antigos executivos.
A violação também desencadeou uma divulgação separada a 5 de fevereiro de 2026, revelando 165 000 registos de utilizadores comprometidos adicionais. Este segundo anúncio intensificou a indignação pública e reforçou a perceção de que as avaliações iniciais da empresa subestimaram os danos.
Analistas da indústria observam que o caso estabelece novos referenciais de conformidade para plataformas de consumidores sul-coreanas. A reconstrução detalhada do ataque pelo governo, incluindo contagens específicas de acessos e análise cronológica, sinaliza a intenção de criar requisitos de controlo prescritivos aplicáveis a outras empresas que tratam grandes volumes de dados pessoais.
Para os utilizadores da Coupang, os dados comprometidos criam riscos de segurança tangíveis. Endereços de entrega, números de telefone e palavras-passe de entrada em edifícios expõem os clientes a potenciais perseguições, fraudes direcionadas e ameaças à segurança física. Ao contrário das violações de cartões de pagamento, que as instituições financeiras podem mitigar através do cancelamento e monitorização, as informações de endereço e contacto permanecem permanentemente sensíveis. A inclusão de endereços de terceiros, como os de familiares ou amigos guardados nas contas dos utilizadores, amplia a população afetada para além dos clientes diretos da Coupang.
O essencial
- 33,67 milhões de contas de utilizadores da Coupang foram confirmadas como divulgadas, afetando aproximadamente dois terços da população sul-coreana
- Um antigo funcionário roubou chaves de assinatura de autenticação e realizou acessos não autorizados entre abril e novembro de 2025
- O atacante acedeu 148 milhões de vezes a páginas da lista de entregas, potencialmente expondo endereços, números de telefone e códigos de entrada de edifícios
- O Ministério da Ciência e das TIC caracterizou o incidente como uma clara falha de gestão e acusou a Coupang de comunicação tardia e destruição de provas
- O diretor-executivo interino Harold Rogers enfrenta interrogatório policial na Coreia e uma intimação do Congresso dos EUA para 23 de fevereiro de 2026
- Uma ação coletiva nos EUA procura indemnizações punitivas num tribunal federal de Nova Iorque
- A Comissão Federal do Comércio advertiu para uma possível suspensão da atividade e está a realizar uma auditoria fiscal
- Mais 165 000 registos foram divulgados a 5 de fevereiro de 2026, separadamente da violação principal
- A Coupang deve apresentar medidas preventivas até ao final do mês, com inspeção governamental agendada para junho e julho
