Південну Корею струснув найбільший витік персональних даних за останні 14 років. Гігант електронної комерції Coupang підтвердив компрометацію інформації про 33,7 мільйона облікових записів — фактично всієї клієнтської бази компанії. Найстрашніше те, що злочинець виносив дані п’ять місяців поспіль, а служба безпеки нічого не помічала. Цей скандал завершує рекордний рік для кіберзлочинності у країні та ставить під питання захищеність цифрових сервісів.
Про це розповідає UBB
П’ять місяців крадіжки: як працівник виніс майже всю базу
Витік почався 24 червня і тривав до листопада цього року. Через закордонні сервери хтось систематично викачував конфіденційну інформацію, а внутрішні системи безпеки Coupang не реагували на аномалію. Компанія виявила проблему лише 18 листопада — через п’ять місяців після початку атаки.
Спочатку керівництво заспокоювало громадськість, повідомивши про компрометацію лише 4500 акаунтів. Але коли розслідування поглибилося, масштаби катастрофи стали очевидними — постраждали 33,7 мільйона облікових записів. Це збільшення у 7500 разів порівняно з початковою оцінкою викликало хвилю обурення серед користувачів.
Поліція ідентифікувала підозрюваного — колишнього співробітника Coupang китайського походження. Проблема в тому, що він вже звільнився з компанії та покинув Південну Корею, що суттєво ускладнює розслідування. Цікаво, що Coupang у своєму поясненні зазначила: не було жодних слідів зовнішнього злому системи. Це натякає на те, що атака велася зсередини особою, яка мала доступ до внутрішніх ресурсів.
Що саме викрали злочинці:
- Повні імена клієнтів.
- Номери телефонів та email-адреси.
- Адреси доставки, включно з кодами від домофонів.
- Історію покупок окремих користувачів.
При цьому платіжні дані, номери кредитних карток та паролі залишилися недоступними для зловмисника. Втім, навіть без фінансової інформації викрадені дані становлять величезну загрозу. Влада попереджає про ймовірну хвилю таргетованих фішингових атак, коли шахраї використовуватимуть реальні адреси та телефони для обману жертв.
Кібербезпека по-корейськи: коли гроші не допомагають
Генеральний директор Coupang Пак Де Джун публічно вибачився перед нацією, але це навряд чи врятує компанію від драконівських штрафів. Південнокорейське законодавство дозволяє оштрафувати порушників на суму до 3% від річного доходу. Для порівняння, телекомунікаційний гігант SK Telecom отримав 97 мільйонів доларів штрафу за аналогічний інцидент у квітні, коли постраждали 23 мільйони абонентів.
Експерти зазначають парадоксальну ситуацію. Coupang витрачає значні кошти на IT-безпеку, але це не врятувало від масштабного витоку. Проблема не у фінансуванні, а в системній уразливості та операційних прогалинах. Губернатор Служби фінансового нагляду Лі Чан Джин відверто визнав: середній рівень інвестицій у системи безпеки в Кореї жахливо недостатній порівняно з США.
2025 рік став справжнім жахом для південнокорейської кібербезпеки. Окрім Coupang, витоки зафіксували всі три великі мобільні оператори, фінансова компанія Lotte Card втратила 200 гігабайтів даних 3 мільйонів клієнтів, а найбільшу криптобіржу Upbit зламали минулого тижня у підозрюваній північнокорейській атаці — саме того дня, коли оголосили про її продаж інтернет-гіганту Naver.
Цей ланцюг інцидентів змусив конкурентів Coupang екстрено перевіряти власні системи безпеки. Платформи Gmarket та SSG.com оголосили внутрішні аудити, побоюючись стати наступними жертвами. А акції компанії з кібербезпеки Ahnlab злетіли на 8% — інвестори нарешті зрозуміли критичність проблеми.
Уряд оголосив тримісячний період посиленого моніторингу всього інтернету, включно з даркнетом, щоб відстежити подальше поширення викрадених даних. Тим часом постраждалі клієнти готують колективний позов проти Coupang, вимагаючи компенсації за небезпеку, якій їх наражено.