Coupang Diselidiki dan Terancam Denda hingga 1 Triliun Won Setelah Kebocoran Data Berdampak pada 33,7 Juta Akun

Apa yang terjadi dan mengapa ini penting

Korea Selatan diguncang kebocoran besar di Coupang, peritel daring terbesar di negara itu, yang mengekspos informasi pribadi terkait sekitar 33,7 juta akun pelanggan. Skalanya luar biasa, berdampak pada sekitar dua pertiga populasi negara tersebut. Insiden ini memicu respons luas dari kepresidenan, regulator, dan aparat penegak hukum, serta telah membentuk perdebatan baru tentang cara perusahaan melindungi data pribadi di tengah ekonomi yang semakin terdigitalisasi dengan cepat.

Coupang mengatakan pihaknya mendeteksi akses tanpa izin pada 18 November dan melaporkannya kepada pihak berwenang. Pemeriksaan selanjutnya mengungkapkan bahwa kebocoran kemungkinan bermula pada 24 Juni melalui server yang berlokasi di luar negeri dan berlangsung selama berbulan-bulan tanpa diketahui. Perusahaan telah meminta maaf dan bekerja sama dengan penyelidik. Coupang menyatakan data pembayaran dan kata sandi tidak diakses, tetapi nama, alamat email, nomor telepon, alamat pengiriman, dan sebagian riwayat pesanan terekspos.

Presiden Lee Jae Myung menyebut kebocoran ini sebagai peringatan bagi perlindungan privasi dan menginstruksikan para pejabat menyiapkan sanksi yang lebih berat. Berdasarkan Undang-Undang Perlindungan Informasi Pribadi, perusahaan yang gagal menerapkan langkah pengamanan memadai dapat didenda hingga 3 persen dari pendapatan tahunan. Untuk perusahaan sebesar Coupang, batas tersebut dapat mendekati atau melampaui 1 triliun won, bergantung pada dasar pendapatan yang digunakan untuk perhitungan. Kepolisian, Badan Internet dan Keamanan Korea (KISA), serta Komisi Perlindungan Informasi Pribadi (PIPC) telah meluncurkan penyelidikan, dan pihak berwenang memperingatkan masyarakat agar mewaspadai phishing dan penipuan yang memanfaatkan informasi kontak yang bocor.

Bagaimana kebocoran terjadi

Pihak berwenang menyatakan penyusupan bermula melalui infrastruktur luar negeri pada akhir Juni dan berlangsung hingga terungkap pada November. Penyelidik melacak aktivitas jaringan dan meninjau cara sistem Coupang mengautentikasi akses internal. Temuan awal mengarah pada kelemahan dalam kontrol autentikasi. Menurut pejabat yang mendapat penjelasan tentang kasus ini, kunci autentikasi yang terkait dengan mantan karyawan tetap aktif setelah karyawan tersebut keluar, sehingga membuka celah untuk mengakses informasi pelanggan. Polisi memeriksa apakah seorang mantan pengembang, yang dilaporkan warga negara China dan kini berada di luar negeri, menyalahgunakan kredensial yang masih berlaku atau kunci tanda tangan yang semestinya telah dicabut.

Coupang menyatakan pihaknya telah menutup jalur akses tersebut, meningkatkan pemantauan, dan melibatkan pakar keamanan independen. Perusahaan juga telah memberi tahu KISA, PIPC, dan Badan Kepolisian Nasional, serta mengirimkan pemberitahuan kepada pengguna terdampak. Secara bersamaan, kementerian-kementerian pemerintah membentuk tim gabungan untuk menyusun rangkaian kejadian dan menentukan apakah langkah pengamanan yang diwajibkan telah diterapkan. Penyelidikan ini mencakup peninjauan kemungkinan pelanggaran aturan perlindungan informasi pribadi.

Mengapa kunci yang tidak aktif berbahaya

Platform modern mengandalkan kunci dan token yang memberi mesin dan staf izin terbatas untuk menjalankan tugas tertentu. Jika kunci tetap berlaku setelah seorang karyawan berganti peran atau keluar, kunci itu dapat menjadi akses siap pakai bagi pihak yang tidak berwenang. Praktik keamanan mensyaratkan akses dengan hak minimum, pencabutan segera ketika peran berubah, serta penggantian kunci secara berkala agar kunci tidak dapat digunakan dalam jangka waktu lama. Kunci yang berlaku lama berisiko karena satu kelalaian dalam pencabutan atau pemantauan dapat mengekspos data dalam jumlah besar. Dalam kasus ini, penyelidik memeriksa apakah kredensial yang masih berlaku digunakan untuk bergerak diam-diam di dalam sistem selama beberapa bulan.

Respons pemerintah dan konsekuensi hukum

Kebocoran ini dengan cepat berkembang dari insiden perusahaan menjadi persoalan nasional. Kepresidenan mengumpulkan pejabat senior dan memerintahkan penyusunan usulan untuk menaikkan sanksi serta memperkuat perlindungan konsumen. Kementerian Sains dan TIK, PIPC, dan kepolisian melakukan penyelidikan bersama yang mencakup forensik teknis dan kepatuhan terhadap undang-undang keamanan data. KISA menerbitkan imbauan kepada masyarakat agar waspada terhadap penipuan yang mungkin memanfaatkan informasi kontak dan pengiriman yang bocor.

Dalam rapat kabinet, Presiden Lee mengkritik jeda panjang antara awal penyusupan dan saat kebocoran itu diketahui. Ia mendesak pertanggungjawaban yang cepat dan perubahan mendasar dalam cara perusahaan besar memprioritaskan keamanan data pengguna.

Presiden Lee mengatakan kebocoran yang berlangsung berbulan-bulan tanpa diketahui itu tidak dapat diterima dan norma perlindungan data harus berubah. Ia menyerukan sanksi yang lebih berat dan pertanggungjawaban yang lebih cepat. Ia kemudian menyampaikan peringatan lebih luas tentang budaya perusahaan terkait privasi.

Sungguh mencengangkan Coupang bahkan tidak mendeteksi sendiri kebocoran tersebut selama lima bulan sejak insiden itu pertama kali terjadi. Praktik yang keliru dan anggapan bahwa perlindungan data pribadi, yang merupakan aset utama di era kecerdasan buatan dan digitalisasi, tidak perlu mendapat perhatian yang semestinya harus diubah sepenuhnya.

Risiko hukumnya bisa signifikan. Berdasarkan hukum yang berlaku saat ini, denda administratif maksimum adalah 3 persen dari pendapatan jika regulator menyimpulkan bahwa perusahaan gagal menerapkan langkah pengamanan yang memadai. Coupang melaporkan penjualan tahunan puluhan miliar dolar. Denda sebesar 3 persen dari jumlah tersebut dapat mencapai ratusan miliar won, bahkan berpotensi lebih dari 1 triliun won jika dikonversi dengan nilai tukar terkini. Regulator juga meninjau aturan ganti rugi punitif dan kemungkinan menaikkan sanksi lebih lanjut untuk pelanggaran berulang atau berskala besar.

Pasar keuangan bereaksi setelah cakupan kebocoran menjadi jelas. Saham Coupang turun setelah polisi mengonfirmasi skala kebocoran dan menyatakan mereka melacak alamat IP serta meninjau kerentanan teknologi. Analis memperkirakan pelanggan yang beralih akan terbatas karena kuatnya posisi Coupang di pasar, tetapi mereka memperingatkan bahwa kompensasi bagi korban dan potensi sanksi dapat menimbulkan biaya besar yang hanya terjadi satu kali.

Informasi yang terekspos dan cara melindungi diri

Coupang menyatakan data yang terekspos mencakup informasi dasar kontak dan pengiriman serta sebagian riwayat pesanan. Perusahaan menyatakan tidak memiliki bukti bahwa nomor kartu kredit, informasi rekening bank, atau kata sandi telah dibobol. Hal ini mengurangi risiko langsung pencurian uang, tetapi informasi kontak dan alamat yang bocor bernilai bagi para penipu yang mahir menyamar.

Informasi yang diambil

Menurut pemberitahuan perusahaan dan penjelasan resmi, informasi yang terekspos mencakup:

• Nama lengkap
• Alamat email
• Nomor ponsel dan nomor telepon lainnya
• Alamat pengiriman
• Sebagian riwayat pesanan

Penjahat dapat menggunakan kombinasi informasi tersebut untuk membuat pesan dan panggilan phishing yang terdengar meyakinkan. Pemberitahuan pengiriman palsu yang mencantumkan nama dan alamat Anda dengan benar lebih mungkin menipu orang agar mengeklik tautan berbahaya atau membagikan informasi pembayaran. KISA telah mengimbau konsumen untuk tetap waspada terhadap panggilan suara, pesan teks, dan email yang tampaknya berasal dari Coupang atau jasa kurir, serta tidak mengeklik tautan dalam pesan yang tidak diminta.

Langkah praktis bagi pelanggan

• Waspadai email, pesan teks, atau panggilan tak terduga yang menyebut pesanan atau masalah pengiriman Anda. Jangan mengeklik tautannya. Buka langsung aplikasi atau situs resmi dan periksa pemberitahuan di sana.
• Aktifkan verifikasi dua langkah pada akun Anda jika tersedia. Pemeriksaan masuk yang lebih kuat membatasi dampak jika informasi lain disalahgunakan.
• Periksa pesanan terbaru dan aktivitas akun untuk menemukan hal yang tidak Anda kenali. Laporkan hal yang mencurigakan kepada layanan pelanggan.
• Waspadai permintaan pembayaran untuk mengatasi masalah pengiriman. Platform tepercaya tidak meminta informasi kartu melalui pesan teks atau telepon.
• Pertimbangkan menggunakan pengelola kata sandi dan kata sandi unik untuk setiap layanan. Ini mengurangi risiko penggunaan ulang kata sandi di berbagai situs.
• Jika Anda menduga identitas Anda disalahgunakan, ajukan pengaduan kepada pihak berwenang dan minta dokumentasi dari perusahaan untuk laporan yang diperlukan.

Coupang menyatakan pihaknya memberi tahu pengguna terdampak dan telah menutup jalur akses yang memungkinkan penyusupan. Perusahaan juga memperkuat pemantauan internal dan melibatkan pakar independen untuk membantu penanganan serta pemulihan.

Dampak bisnis terhadap Coupang dan pasar belanja daring

Coupang adalah raksasa ritel Korea dengan hampir 25 juta pengguna aktif dalam beberapa kuartal terakhir. Perusahaan ini telah berekspansi ke layanan pengiriman cepat bahan makanan, logistik, dan streaming, serta menjalankan layanan di Jepang dan Taiwan. Perusahaan menyatakan tidak ada bukti bahwa data dari unit Taiwan atau layanan afiliasi lainnya di luar Korea Selatan terdampak. Meski begitu, dampak di dalam negeri serius karena kebocoran ini menjangkau begitu banyak rumah tangga.

Investor awalnya menurunkan nilai saham setelah skala kebocoran diketahui publik dan polisi membuka penyelidikan resmi. Dampak langsung terhadap pendapatan mungkin terbatas jika sebagian besar pelanggan tetap bertahan, tetapi biaya penanganan insiden, potensi kompensasi, dan kemungkinan sanksi dapat besar. Jika regulator menerapkan persentase maksimum, denda saja dapat mendekati kisaran 1 triliun won, bergantung pada dasar pendapatan yang digunakan.

Peristiwa ini juga terjadi pada tahun ketika Korea Selatan mengalami sejumlah insiden siber besar yang menjadi sorotan. Dalam kasus terpisah, SK Telecom menghadapi sanksi besar setelah kebocoran yang berdampak pada puluhan juta pelanggan. Kasus lain di Lotte Card menyoroti bagaimana penjahat menyasar perusahaan yang menyimpan banyak data identitas dan pembelian. Kasus-kasus tersebut terjadi sebelum kebocoran Coupang dan menjadi latar yang memperkuat tekanan bagi regulator untuk bertindak.

Mengapa kebocoran besar terus berulang di Korea Selatan

Ada pola yang menggabungkan penyimpanan data dalam jumlah besar, sistem internal yang kompleks, dan tekanan untuk bergerak cepat di pasar daring yang kompetitif. Ketika perusahaan mengandalkan banyak pengembang internal dan eksternal serta menggunakan beragam layanan yang saling terhubung, pengawasan dapat melemah. Kunci dan token bisa menumpuk dan tidak kedaluwarsa sesuai jadwal. Akses juga tidak selalu dibatasi pada tingkat minimum yang diperlukan. Dalam situasi seperti itu, satu kunci yang tidak dicabut atau server yang salah konfigurasi dapat memberi penyerang jalur yang jelas.

Pejabat mengatakan kebocoran besar berulang sejak 2021 menunjukkan kelemahan struktural dalam perlindungan informasi pribadi. PIPC baru-baru ini menjatuhkan denda rekor kepada sebuah operator telekomunikasi setelah kebocoran yang tidak diketahui selama bertahun-tahun. Dalam kasus Coupang, penyelidik menilai apakah tata kelola internal dan kontrol akses tidak memadai meski perusahaan mengeluarkan biaya besar untuk keamanan dan teknologi informasi. Sejumlah pelaku industri berpendapat bahwa besarnya pengeluaran saja tidak menjamin perlindungan kuat jika penggantian kunci, disiplin audit, dan pengelolaan siklus hidup kredensial tidak ditegakkan dalam kegiatan sehari-hari.

Pemerintah telah memerintahkan peninjauan aturan ganti rugi punitif dan sanksi, menandakan tekanan untuk perubahan yang melampaui satu perusahaan. Platform lain mulai melakukan pemeriksaan dan audit keamanan internal. Pembahasan kini meluas ke tim rekayasa lintas negara, pelokalan data, dan apakah perusahaan dengan pusat pengembangan di luar negeri memerlukan kontrol yang lebih ketat saat menangani data pengguna domestik.

Aturan yang berlaku bagi perusahaan dan kemungkinan perubahan berikutnya

Berdasarkan Undang-Undang Perlindungan Informasi Pribadi, perusahaan wajib melindungi data pribadi dengan langkah teknis dan administratif yang sesuai. Kegagalan yang mengakibatkan kebocoran dapat memicu perintah perbaikan, denda administratif, dan tuntutan ganti rugi. Batas denda adalah 3 persen dari pendapatan, dan usulan baru dapat meningkatkan tanggung jawab jika terjadi kerugian serius atau kelalaian berulang. Pihak berwenang juga mengevaluasi kemungkinan memperketat tenggat pelaporan, meningkatkan pengujian wajib atas kontrol akses, serta mewajibkan bukti yang lebih kuat tentang pengelolaan kunci dan pencabutan akses ketika staf keluar atau berganti peran.

Bagi platform besar, pelajarannya jelas meski penerapannya sulit. Masa berlaku kunci dan token harus singkat. Akses harus dibatasi pada hak minimum yang diperlukan. Pencabutan akses harus otomatis dan segera ketika peran berubah. Sistem peringatan dan deteksi harus menandai kueri yang tidak biasa terhadap basis data pengguna. Pengujian tim merah internal secara berkala dan tinjauan independen dapat membantu menemukan titik lemah yang luput. Regulator kemungkinan akan mengharapkan kemajuan nyata dalam hal-hal mendasar ini sebagai bagian dari setiap rencana pemulihan.

Bagi pengguna, berdasarkan temuan saat ini, risiko langsung berpusat pada penipuan yang ditargetkan, bukan pencurian langsung data pembayaran. Meski begitu, hal ini tetap dapat menimbulkan kerugian nyata, terutama bagi orang-orang yang mengandalkan pesan pengiriman dan pemberitahuan ponsel dalam kehidupan sehari-hari. Kombinasi nama, alamat, dan detail pesanan terbaru yang benar dapat menjadi umpan yang meyakinkan. Edukasi konsumen dan langkah verifikasi sederhana di dalam aplikasi dapat meredam serangan tersebut jika pengguna tahu apa yang perlu diwaspadai.

Sekilas

• Sekitar 33,7 juta akun pelanggan Coupang terekspos, menjadi kebocoran terbesar di Korea Selatan dalam lebih dari satu dekade.
• Data yang bocor mencakup nama, alamat email, nomor telepon, alamat pengiriman, dan sebagian riwayat pesanan. Menurut perusahaan, informasi pembayaran dan kata sandi tidak termasuk.
• Akses tanpa izin diyakini bermula pada 24 Juni dan terdeteksi pada 18 November.
• Pihak berwenang menyelidiki kelemahan autentikasi dan kemungkinan mantan karyawan menggunakan kunci akses yang masih berlaku.
• Presiden Lee Jae Myung memerintahkan sanksi yang lebih berat dan pertanggungjawaban yang lebih cepat, serta menyebut jeda berbulan-bulan sebelum kebocoran terdeteksi sebagai hal yang mencengangkan.
• Regulator dapat menjatuhkan denda hingga 3 persen dari pendapatan berdasarkan hukum saat ini, jumlah yang dapat mencapai ratusan miliar won atau lebih.
• KISA menerbitkan imbauan kepada masyarakat terkait upaya phishing dan penipuan yang mungkin memanfaatkan data kontak yang bocor.
• Polisi, KISA, dan PIPC meluncurkan penyelidikan bersama. Coupang menyatakan telah menutup jalur akses dan melibatkan pakar eksternal.
• Kantor hukum sedang menyiapkan gugatan perwakilan kelompok, dan analis memperkirakan biaya besar yang hanya terjadi satu kali untuk kompensasi dan sanksi apa pun.
• Kasus ini menambah daftar kebocoran besar di Korea Selatan tahun ini dan kemungkinan mempercepat perubahan regulasi tentang perlindungan data dan kontrol akses internal.