Skala Kebocoran
Kementerian Sains dan TIK Korea Selatan mengonfirmasi pada Selasa bahwa 33,67 juta data pengguna disusupi dalam kebocoran data besar-besaran di Coupang, platform e-commerce terbesar di negara itu sekaligus perusahaan yang tercatat di Nasdaq. Angka tersebut setara dengan sekitar dua pertiga dari 51 juta penduduk Korea Selatan, menjadikannya salah satu kebocoran data konsumen terbesar dalam sejarah negara itu dan berdampak pada porsi signifikan dari populasi yang aktif secara digital.
Daftar Isi
Penyelidikan mengungkap bahwa seorang mantan karyawan mengeksploitasi celah autentikasi untuk mengakses nama dan alamat email jutaan pengguna. Selain informasi akun tersebut, pelaku mengakses halaman daftar pengiriman sebanyak 148 juta kali, sehingga berpotensi mengekspos nama, nomor telepon, alamat rumah, bahkan kata sandi pintu masuk apartemen yang telah dianonimkan. Karena Coupang memungkinkan pengguna menyimpan hingga 20 alamat pengiriman per akun, jumlah data lokasi yang terdampak sebenarnya bisa jauh melampaui jumlah akun dasar, dan berpotensi mencakup anggota keluarga serta kenalan pemilik akun utama.
Choi Woo-hyuk, kepala kantor kebijakan keamanan siber dan jaringan di kementerian tersebut, memaparkan temuan ini dalam konferensi pers pemerintah di Seoul. Konfirmasi ini disampaikan hampir tiga bulan setelah Coupang pertama kali mendeteksi penyusupan pada 17 November 2025, dan menandai eskalasi signifikan dari pernyataan awal perusahaan kepada publik. Penundaan pengumuman resmi memicu spekulasi bahwa penyampaiannya ditangguhkan karena kekhawatiran terhadap tekanan dagang dari Amerika Serikat serta klaim politisi Amerika bahwa pemerintah Korea Selatan mendiskriminasi perusahaan-perusahaan AS. Tim penyelidik dengan tegas membantah tuduhan tersebut.
Tim penyelidik menegaskan bahwa mereka tidak pernah menyimpang dari prinsip hukum dan tidak memperlakukan perusahaan mana pun secara berbeda. Mereka menyatakan telah mematuhi standar keterbukaan yang cepat dan transparan seiring tersedianya hasil penyelidikan. Pernyataan ini menanggapi kekhawatiran yang kian meningkat bahwa kasus tersebut mungkin dipengaruhi pertimbangan diplomatik, bukan ketentuan regulasi.
Bagaimana Serangan Terjadi
Kebocoran ini berasal dari dalam organisasi. Penyelidik mengidentifikasi pelaku sebagai mantan karyawan Coupang yang pernah mengembangkan perangkat lunak autentikasi pengguna. Menurut analisis pemerintah, orang tersebut mencuri kunci penandatanganan dari sistem autentikasi, melakukan uji coba awal serangan antara 5 dan 20 Januari 2025, lalu menggunakan alat perayap web untuk mengekstrak data secara sistematis.
Periode serangan berlangsung dari 14 April hingga 8 November 2025, sehingga pelaku dapat beraksi tanpa terdeteksi selama hampir tujuh bulan. Dengan kunci penandatanganan yang dicuri, mantan karyawan tersebut memalsukan apa yang disebut pejabat sebagai tiket akses elektronik, sehingga sepenuhnya melewati prosedur login standar. Metode ini memungkinkan akses berkelanjutan ke layanan Coupang bahkan setelah orang tersebut meninggalkan perusahaan.
Lee Dong-geun, kepala Divisi Respons Ancaman Digital di Badan Internet dan Keamanan Korea, mengungkap bahwa penyelidik menemukan pengembang Coupang yang masih bekerja menyimpan kunci penandatanganan di laptop pribadi, bertentangan dengan aturan internal yang mewajibkan kredensial tersebut disimpan dalam sistem manajemen. Praktik ini menciptakan celah yang memungkinkan kebocoran terjadi.
Pelaku mengakses halaman Edit My Information untuk mengambil 33.673.817 data yang berisi nama dan alamat email. Selain itu, halaman daftar alamat pengiriman diakses 148,05 juta kali, sementara halaman daftar pesanan dilihat tanpa izin sekitar 100.000 kali. Penyelidik mengonfirmasi bahwa pelaku memiliki sistem yang mampu mengirimkan data ke server cloud di luar negeri, tetapi tidak dapat memastikan apakah pengiriman tersebut benar-benar terjadi.
Kesimpulan Pemerintah
Pihak berwenang Korea Selatan menyampaikan penilaian keras atas postur keamanan Coupang. Choi Woo-hyuk menyebut insiden ini sebagai kegagalan manajemen yang nyata, bukan serangan eksternal yang canggih. Tim penyelidik menemukan kelemahan serius dalam pengelolaan sistem autentikasi dan pengendalian kunci penandatanganan.
Ini adalah kegagalan manajemen yang nyata oleh Coupang, bukan serangan yang canggih. Tim menemukan kelemahan dalam pengelolaan sistem autentikasi dan kunci penandatanganan.
Penyelidikan menemukan sejumlah pelanggaran kepatuhan. Coupang tidak melaporkan kebocoran dalam tenggat wajib 24 jam, dan baru memberi tahu pihak berwenang pada 19 November, bukan 18 November sebagaimana diwajibkan. Yang lebih serius, perusahaan diduga melanggar perintah penyimpanan data yang diterbitkan pada 19 November. Meski diperintahkan untuk mempertahankan bukti, Coupang tidak menyesuaikan kebijakan penyimpanan log otomatis, sehingga log akses web dari Juli hingga November 2024 serta log akses aplikasi dari 23 Mei hingga 2 Juni 2025 terhapus.
Kementerian mengumumkan rencana menjatuhkan denda administratif atas keterlambatan pelaporan, yang dapat mencapai 30 juta won. Selain itu, pejabat meminta aparat penegak hukum menyelidiki kemungkinan penghalangan terkait pemusnahan bukti. Coupang kini harus menyerahkan langkah-langkah pencegahan kepada kementerian paling lambat akhir bulan ini. Pelaksanaannya dijadwalkan pada Maret hingga Mei, disusul pemeriksaan pemerintah pada Juni dan Juli.
Pembelaan Coupang dan Kenyataan
Sepanjang penyelidikan, Coupang menyatakan bahwa meskipun secara teknis 33,7 juta akun terdampak, kerugian sebenarnya terbatas. Perusahaan mengklaim bahwa berdasarkan kesaksian pelaku, hanya sekitar 3.000 data yang disimpan di hard drive pelaku lalu dihapus. Sikap ini menuai kritik tajam dari regulator dan pegiat privasi, yang menilainya sebagai upaya untuk meminimalkan dampak terhadap reputasi dan risiko regulasi.
Choi Woo-hyuk secara langsung menantang penafsiran tersebut dalam konferensi persnya. Ia menekankan bahwa menurut standar perlindungan data Korea Selatan, akses tanpa izin ke halaman informasi pribadi merupakan kebocoran data, terlepas dari apakah data itu disimpan secara lokal atau dikirim ke tempat lain.
Menyebutnya sebagai akses bukan berarti tanggung jawabnya lebih kecil. Angka 3.000 data itu hanya klaim perusahaan dan sekadar menjadi acuan. Kami memverifikasi semua materi secara independen. Kami memeriksa server Coupang untuk menentukan berapa banyak data yang diakses penyerang eksternal dan berapa banyak yang bocor.
Perwakilan Coupang menanggapi temuan pemerintah dengan menyatakan bahwa 148 juta akses ke halaman daftar pengiriman tidak menunjukkan skala kebocoran informasi. Juru bicara perusahaan menyebutnya sebagai upaya mengumpulkan data pribadi masing-masing pengguna yang terkait dengan 33,7 juta akun, bukan bukti adanya 148 juta kebocoran data terpisah. Namun, pejabat pemerintah membantah dengan menyatakan bahwa tingginya jumlah permintaan akses menunjukkan kemampuan pelaku untuk mengumpulkan profil pengguna secara menyeluruh.
Perbedaan ini menyoroti perbedaan mendasar antara cara perusahaan dan regulator mendefinisikan kebocoran data. Coupang berfokus pada data yang dipastikan disimpan oleh pelaku, sedangkan pihak berwenang menganggap setiap akses tanpa izin ke informasi pribadi sebagai kebocoran, terlebih jika disertai bukti adanya sistem yang dirancang untuk mengirim data ke luar negeri.
Dampak Geopolitik dan Tekanan Hukum AS
Kebocoran ini berkembang dari insiden keamanan siber domestik menjadi isu bilateral penting antara Korea Selatan dan Amerika Serikat. Sebagai perusahaan yang tercatat di AS dengan dukungan besar dari investor Amerika, Coupang menarik perhatian anggota parlemen AS yang menilai respons regulasi Korea Selatan yang agresif berpotensi menjadi tindakan diskriminatif terhadap perusahaan Amerika.
CEO sementara Harold Rogers menghadapi tekanan hukum yang kian besar di sejumlah front. Polisi Korea Selatan memeriksa Rogers selama sekitar 12 jam terkait dugaan kesaksian palsu mengenai kebocoran tersebut. Pada saat yang sama, Komite Kehakiman DPR AS telah memanggil Rogers untuk memberikan kesaksian pada 23 Februari 2026 terkait insiden ini. Penyelidikan kongres itu mengkaji apakah regulator Korea membebani perusahaan yang tercatat di AS secara tidak adil.
Di pengadilan federal New York, gugatan class action menuntut ganti rugi punitif dari Coupang atas dugaan perlindungan data yang tidak memadai dan pengungkapan informasi yang menyesatkan mengenai cakupan kebocoran. Gugatan tersebut mewakili investor dan pengguna yang mengaku mengalami kerugian akibat kegagalan keamanan serta upaya perusahaan untuk mengecilkan dampak insiden tersebut.
Sejumlah perusahaan multinasional yang beroperasi di Seoul secara tertutup memperingatkan bahwa respons yang melibatkan sembilan lembaga pemerintah dan ratusan pejabat ini belum pernah terjadi sebelumnya jika dibandingkan dengan penanganan perusahaan domestik. Mereka menyebut kebocoran di SK Telecom pada 2025 yang berdampak pada 27 juta data dan tidak memicu penyelidikan sebanding sebagai bukti perlakuan berbeda. Namun, Kementerian Sains dan TIK dengan tegas membantah adanya penyimpangan dari prinsip hukum dan menegaskan Coupang menerima perlakuan yang sama seperti perusahaan mana pun yang menghadapi pelanggaran serupa.
Presiden Lee Jae-myung secara terbuka berjanji akan menjadikan Korea Selatan sebagai tujuan investasi terbaik di dunia. Hal ini menimbulkan ketegangan antara upaya menunjukkan penegakan perlindungan data yang kuat dan menjaga iklim yang kondusif bagi modal asing. Kasus Coupang kini menjadi ujian bagi Seoul dalam menyeimbangkan perlindungan privasi konsumen dengan hubungan dagang internasional.
Konsekuensi Regulasi dan Risiko Bisnis
Selain denda langsung atas keterlambatan pelaporan, Coupang menghadapi risiko regulasi yang serius. Komisi Perdagangan Adil telah memperingatkan kemungkinan penghentian operasi bisnis, langkah drastis yang akan menghentikan seluruh kegiatan perusahaan. Komisi tersebut juga sedang melakukan audit pajak dan telah menerima pengaduan parlemen terhadap pendiri Bom Kim serta sejumlah mantan eksekutif.
Kebocoran ini juga memicu pengungkapan terpisah pada 5 Februari 2026, yang mengungkap tambahan 165.000 data pengguna terdampak. Pengumuman kedua ini semakin menyulut kemarahan publik dan memperkuat anggapan bahwa penilaian awal perusahaan mengecilkan dampak kebocoran.
Analis industri menilai kasus ini menetapkan tolok ukur kepatuhan baru bagi platform konsumen Korea Selatan. Rincian rekonstruksi serangan oleh pemerintah, termasuk jumlah akses spesifik dan analisis linimasa, menandakan niat untuk menetapkan persyaratan pengendalian yang terperinci bagi perusahaan lain yang memproses data pribadi dalam jumlah besar.
Bagi pengguna Coupang, data yang terdampak menimbulkan risiko nyata terhadap keselamatan. Alamat pengiriman, nomor telepon, dan kata sandi pintu masuk gedung membuat pelanggan rentan terhadap penguntitan, penipuan yang ditargetkan, dan ancaman keamanan fisik. Berbeda dengan kebocoran kartu pembayaran yang dapat ditangani lembaga keuangan melalui pembatalan kartu dan pemantauan, alamat dan informasi kontak tetap sensitif secara permanen. Tercakupnya alamat pihak ketiga, seperti milik keluarga atau teman yang tersimpan di akun pengguna, memperluas jumlah pihak terdampak di luar pelanggan Coupang secara langsung.
Hal-Hal Utama
- 33,67 juta akun pengguna Coupang dipastikan bocor, berdampak pada sekitar dua pertiga populasi Korea Selatan
- Seorang mantan karyawan mencuri kunci penandatanganan autentikasi dan mengakses sistem tanpa izin antara April dan November 2025
- Pelaku mengakses halaman daftar pengiriman sebanyak 148 juta kali, sehingga berpotensi mengekspos alamat, nomor telepon, dan kode pintu masuk gedung
- Kementerian Sains dan TIK menyebut insiden ini sebagai kegagalan manajemen yang nyata dan menyatakan Coupang melanggar aturan pelaporan serta pemusnahan bukti
- CEO sementara Harold Rogers menghadapi pemeriksaan polisi di Korea dan pemanggilan oleh Kongres AS untuk memberikan kesaksian pada 23 Februari 2026
- Gugatan class action di AS menuntut ganti rugi punitif di pengadilan federal New York
- Komisi Perdagangan Adil telah memperingatkan kemungkinan penghentian operasi bisnis dan sedang melakukan audit pajak
- Tambahan 165.000 data diungkap pada 5 Februari 2026, terpisah dari kebocoran utama
- Coupang harus menyerahkan langkah pencegahan paling lambat akhir bulan ini, dengan pemeriksaan pemerintah dijadwalkan pada Juni dan Juli
