Kebocoran Coupang di Korea Selatan mengekspos 33,7 juta akun pelanggan

Apa yang terjadi dan mengapa ini penting

Coupang, platform e-commerce terbesar di Korea Selatan, mengungkap kebocoran data besar-besaran yang mengekspos informasi pribadi terkait 33,7 juta akun pelanggan. Penyelidik mengatakan akses tanpa izin kemungkinan dimulai pada Juni melalui server yang berada di luar negeri dan tidak terdeteksi selama berbulan-bulan. Dampaknya mencakup lebih dari separuh populasi nasional, menempatkan pembeli harian, keluarga, dan usaha kecil dalam risiko upaya penipuan yang kerap menyusul kebocoran besar data pribadi.

Perusahaan mengatakan informasi yang terekspos mencakup nama, nomor ponsel, alamat email, alamat pengiriman, dan detail sejumlah pesanan sebelumnya. Menurut perusahaan, data kartu pembayaran, informasi rekening bank, dan kredensial login tidak diakses. Meski tanpa detail keuangan, gabungan informasi kontak dan riwayat pesanan dapat memicu penipuan meyakinkan yang meniru petugas layanan pelanggan atau pemberitahuan pengiriman. Pelanggan diimbau waspada terhadap panggilan, pesan teks, atau email yang meminta kode, kata sandi, atau detail pembayaran.

Coupang meminta maaf dan melaporkan insiden tersebut kepada pihak berwenang tak lama setelah mendeteksi akses tidak biasa yang berdampak pada sejumlah kecil akun pada pertengahan November. Angka awal sekitar 4.500 akun yang disusupi dengan cepat meningkat seiring penyelidik memperluas cakupan penyelidikan. Polisi tengah menyelidiki kemungkinan keterlibatan mantan karyawan yang kini berada di luar negeri. Regulator sedang memeriksa apakah Coupang melanggar aturan perlindungan data dan mengisyaratkan sanksi akan dijatuhkan jika ditemukan kegagalan dalam mematuhi ketentuan.

Bagaimana kebocoran terjadi

Menurut perusahaan dan pejabat pemerintah, kebocoran ini melibatkan informasi pribadi terkait pengiriman dan tampaknya bermula dari akses melalui server di luar negeri sejak akhir Juni. Coupang mengidentifikasi aktivitas tidak biasa pada 18 November, lalu memberi tahu pihak berwenang dalam dua hari. Setelah memblokir jalur yang dicurigai dan memperketat pemantauan internal, perusahaan memulai penyelidikan bersama pakar keamanan dan aparat penegak hukum. Seiring berlangsungnya analisis forensik, jumlah akun terdampak meningkat hingga puluhan juta.

Pihak berwenang mengatakan celah dalam proses verifikasi server tertentu mungkin telah dieksploitasi, sehingga pihak luar dapat mengambil data berulang kali tanpa memicu peringatan seketika. Kemungkinan itu, bersama indikasi adanya orang dalam yang memahami sistem, kini menjadi fokus utama penyelidikan. Pemerintah menggelar rapat darurat dan membentuk tim gabungan pemerintah-swasta untuk mengoordinasikan analisis teknis, dukungan bagi korban, dan tindakan regulator.

Data yang terekspos dan risikonya

Kumpulan data tersebut dilaporkan mencakup informasi pribadi sehari-hari yang dibagikan orang untuk menerima kiriman: nama, nomor ponsel, alamat email, alamat pengiriman, dan sebagian riwayat pesanan. Nomor kartu pembayaran, informasi rekening bank, dan kata sandi tidak termasuk. Perbedaan ini penting untuk menilai risiko keuangan langsung, tetapi informasi yang terekspos tetap memungkinkan rekayasa sosial. Penipu dapat menyamar sebagai peritel, mitra logistik, atau bahkan bank, lalu mendesak sasaran agar memberikan kode sekali pakai atau memasang malware.

Phishing melalui pesan teks, yang sering disebut smishing, merupakan ancaman lanjutan yang umum setelah kebocoran besar. Penyerang menggunakan pemberitahuan pengiriman atau peringatan akun yang tampak meyakinkan untuk mengarahkan orang ke halaman login palsu atau mencuri kode sekali pakai guna mengambil alih akun. Detail pesanan membuat umpan tersebut tampak lebih meyakinkan. Pelanggan sebaiknya berhati-hati terhadap pesan dan panggilan tak terduga, terutama jika meminta pembayaran, kode, atau akses jarak jauh ke perangkat.

Meski Coupang mengatakan tidak ada kata sandi yang dicuri, pelaku kejahatan kerap mencoba mengatur ulang kata sandi dengan memanfaatkan detail kontak yang bocor. Waspadai permintaan pengaturan ulang kata sandi atau verifikasi yang tidak diminta, dan pastikan perubahan hanya melalui aplikasi atau situs resmi, bukan lewat tautan dalam pesan. Aktifkan autentikasi dua faktor jika tersedia. Periksa pesanan terbaru dan alamat pengiriman tersimpan untuk memastikan tidak ada perubahan yang tidak Anda lakukan.

Siapa yang mungkin berada di baliknya

Menurut pejabat yang mengetahui penyelidikan, polisi telah mengidentifikasi seorang tersangka yang merupakan mantan karyawan dan warga negara asing. Orang tersebut dilaporkan telah meninggalkan Korea Selatan. Penyelidik sedang mengkaji apakah ia mengeksploitasi celah dalam verifikasi server atau masih memiliki akses setelah keluar dari perusahaan. Pengetahuan orang dalam dapat memudahkan pencarian titik lemah, terutama jika log sistem dan hak akses tidak dikendalikan dengan ketat.

Risiko orang dalam tidak hanya mencakup tindakan yang disengaja. Kesalahan, token sistem yang masih aktif, dan proses pencabutan akses yang lambat dapat membuka jalur data yang kemudian dimanfaatkan penyerang dari luar. Kontrol akses yang kuat, rotasi dan pencabutan kredensial, pencatatan aktivitas berkelanjutan, serta pemantauan perilaku sangat penting untuk mengurangi risiko ini. Regulator menekankan seriusnya kebocoran tersebut dan menjanjikan respons cepat.

Kementerian Sains dan TIK, menanggapi tereksposnya detail kontak jutaan warga, menetapkan ekspektasi untuk penyelidikan tersebut.

Kementerian mengatakan penyelidikan cepat akan dilakukan dan sanksi tegas dijatuhkan jika ditemukan pelanggaran.

Respons pihak berwenang dan Coupang

Pemerintah meluncurkan penyelidikan resmi dalam beberapa hari setelah laporan awal dan membentuk tim respons gabungan bersama aparat penegak hukum dan lembaga teknis. Komisi Perlindungan Informasi Pribadi sedang memeriksa apakah aturan perlindungan data dilanggar. Coupang mengatakan telah memblokir jalur akses, meningkatkan pemantauan internal, dan bekerja sama sepenuhnya. Perusahaan mengimbau pelanggan agar waspada terhadap upaya penyamaran dan hanya mengandalkan saluran komunikasi resmi.

Skala kebocoran ini melampaui insiden besar awal tahun ini di sebuah operator seluler terkemuka, yang berdampak pada lebih dari 23 juta pengguna dan berujung pada denda rekor. Regulator mengisyaratkan sanksi tegas akan dijatuhkan jika kontrol keamanan dinilai tidak memadai. Pihak berwenang juga sedang meninjau apakah pedoman industri tentang keamanan server, pencabutan akses karyawan, dan verifikasi akses perlu diperkuat.

Mengapa sertifikasi gagal mencegah hal ini

Coupang memiliki ISMS P, sertifikasi nasional untuk keamanan informasi dan perlindungan data pribadi. Perusahaan memperoleh sertifikasi tersebut pada 2021 dan memperbaruinya pada 2024. Meski demikian, Coupang mencatat beberapa insiden sejak 2020 dan pernah didenda atas pelanggaran sebelumnya. Hal ini memperkuat perdebatan yang lebih luas mengenai jaminan yang sebenarnya diberikan sertifikasi. Audit ISMS P berfokus pada kebijakan, proses, dan kontrol yang terdokumentasi, tetapi sertifikasi bukan jaminan terhadap kegagalan yang terjadi secara langsung, kesalahan manusia, atau penyalahgunaan oleh orang dalam.

Para pengkritik berpendapat audit dapat lebih menekankan kepatuhan di atas kertas daripada bukti nyata bahwa kontrol berfungsi dalam kondisi sulit. Platform kompleks mengandalkan banyak layanan mikro, integrasi pihak ketiga, dan tim besar. Gambaran risikonya dapat berubah dengan cepat. Siklus sertifikasi yang berkala dan berpatokan pada daftar periksa mungkin melewatkan kelemahan praktis yang hanya muncul di sistem aktif, misalnya token akses yang berlaku lama, celah autentikasi server, atau korelasi log yang tidak lengkap di berbagai lingkungan.

Praktik di yurisdiksi lain memberi konteks tentang hubungan antara sanksi dan pencegahan. Peraturan Perlindungan Data Umum (GDPR) Uni Eropa mewajibkan privasi sejak tahap perancangan dan pelaporan kebocoran dalam 72 jam, serta mengizinkan denda hingga 4 persen dari pendapatan global. Di Amerika Serikat, Komisi Perdagangan Federal telah menjatuhkan sanksi besar kepada perusahaan yang salah menangani data pengguna atau menyesatkan konsumen. Jepang memperketat aturan berdasarkan Undang-Undang Perlindungan Informasi Pribadi setelah sejumlah insiden besar, dengan menambahkan aturan akses internal dan audit yang lebih ketat. Sistem Korea Selatan secara luas dinilai ketat, tetapi insiden besar yang berulang menunjukkan bahwa penegakan, pemantauan, dan pencegahan tetap perlu mengimbangi metode serangan yang berubah cepat serta risiko orang dalam.

Perbandingan dengan kebocoran data di Korea sebelumnya

Korea Selatan telah menghadapi sejumlah kebocoran besar dalam dua dekade terakhir. Pada 2011, peretas mencuri data dari sekitar 35 juta akun di sebuah jejaring sosial dan portal besar. Pada 2014, perusahaan kartu kredit kehilangan puluhan juta catatan yang mencakup nomor identitas penduduk dan detail kartu. Kasus-kasus sebelumnya juga menimpa pasar daring dan perusahaan energi, sementara dalam beberapa tahun terakhir operator seluler turut melaporkan kebocoran. Insiden terbaru di sebuah penyedia telekomunikasi terkemuka berdampak pada lebih dari 23 juta pengguna dan menghasilkan sanksi terbesar sejauh ini atas pelanggaran undang-undang informasi pribadi.

Kasus Coupang menonjol karena skalanya dan dugaan keterlibatan mantan orang dalam. Insiden ini juga terjadi setelah serangkaian masalah yang lebih kecil di perusahaan, sehingga menambah kekhawatiran publik tentang apakah janji untuk meningkatkan keamanan benar-benar diwujudkan. Kombinasi skala, durasi, dan pemahaman orang dalam terhadap sistem menjadi ujian berat bagi tata kelola perusahaan maupun kerangka perlindungan data nasional.

Langkah yang dapat dilakukan pelanggan sekarang

Coupang mengatakan tidak ada bukti bahwa data pembayaran atau kata sandi terekspos. Meski begitu, kebocoran besar kerap memicu penipuan yang memanfaatkan nama, nomor telepon, alamat, dan detail pesanan. Beberapa langkah sederhana dapat mengurangi risiko dan membantu Anda bertindak cepat jika menjadi sasaran.

• Berhati-hatilah terhadap panggilan, pesan teks, dan email yang tidak diminta, terutama jika meminta pembayaran, kode sekali pakai, atau detail akun.
• Jangan mengeklik tautan dalam pesan pengiriman atau akun. Buka aplikasi resmi atau ketik sendiri alamat situs webnya.
• Aktifkan autentikasi dua faktor untuk akun Anda jika tersedia.
• Pantau riwayat akun dan daftar alamat pengiriman untuk mengetahui perubahan yang tidak Anda lakukan.
• Gunakan pengelola kata sandi dan hindari memakai ulang kata sandi untuk akun belanja, email, dan perbankan.
• Waspadai permintaan untuk memasang perangkat lunak bantuan jarak jauh di ponsel atau komputer Anda.
• Hubungi layanan pelanggan melalui aplikasi atau situs resmi jika menerima pesan mencurigakan yang mengaku berasal dari perusahaan.

Jika Anda menduga data disalahgunakan, laporkan kepada pihak berwenang dan operator seluler Anda. Simpan tangkapan layar pesan mencurigakan serta catat waktu dan nomor teleponnya. Pelaporan cepat membantu penyelidik menemukan pola yang lebih luas dan memblokir domain serta nomor berbahaya.

Dampak terhadap bisnis dan pasar

Kebocoran besar kerap menimbulkan biaya jauh melampaui penanganan teknis. Perusahaan mengeluarkan biaya untuk forensik, layanan perlindungan identitas, perancangan ulang sistem, dan dukungan pelanggan, sekaligus menghadapi tindakan regulator dan gugatan hukum. Dampak terhadap reputasi dapat bertahan lama, terutama bagi platform yang mengandalkan pembelian berulang dan loyalitas merek yang kuat. Seruan untuk meminta pertanggungjawaban perusahaan terus menguat, dan otoritas perlindungan data menyatakan akan mempertimbangkan sanksi jika terbukti ada kesenjangan kepatuhan.

Coupang tercatat di Amerika Serikat dan beroperasi dalam skala nasional di Korea Selatan, sehingga menghadapi pengawasan dari berbagai regulator dan investor. Laporan dan pengarahan mendatang kemungkinan akan berfokus pada perubahan dalam pengelolaan akses, pencabutan kredensial, verifikasi server, korelasi log, dan tata kelola integrasi pihak ketiga. Investasi berkelanjutan pada sumber daya manusia, proses, dan teknologi diperlukan untuk membangun kembali kepercayaan dan mengurangi kemungkinan kegagalan berlangsung berbulan-bulan sebelum terdeteksi.

Hal yang perlu diketahui

• Informasi pribadi dari 33,7 juta akun pelanggan Coupang terekspos.
• Data yang bocor mencakup nama, nomor ponsel, alamat email, alamat pengiriman, dan sebagian riwayat pesanan.
• Tidak ditemukan data kartu pembayaran, detail rekening bank, atau kata sandi login dalam kumpulan data yang terekspos.
• Akses tanpa izin kemungkinan dimulai pada Juni dan tidak terdeteksi hingga pertengahan November.
• Pihak berwenang sedang menyelidiki dugaan keterlibatan mantan karyawan dan telah membentuk tim respons darurat.
• Kementerian Sains dan TIK memperingatkan akan menjatuhkan sanksi tegas jika pelanggaran undang-undang perlindungan data terkonfirmasi.
• Coupang mengatakan jalur akses telah diblokir dan pemantauan internal diperkuat.
• Pelanggan diimbau waspada terhadap panggilan telepon, pesan teks, dan email yang menyamar sebagai perusahaan.
• Kasus ini memperkuat perdebatan tentang efektivitas sertifikasi keamanan nasional seperti ISMS P.
• Kebocoran ini melampaui insiden terbaru di perusahaan besar lainnya dan merupakan salah satu yang terbesar yang dilaporkan di Korea Selatan.