泄露事件规模
韩国科学技术信息通信部周二确认，韩国主导性电商平台、纳斯达克上市公司 Coupang 发生大规模数据泄露，3367万条用户记录遭到泄露。这一数字约占韩国5100万人口的三分之二，使该事件成为韩国历史上规模最大的消费者数据泄露事件之一，影响了相当大比例的活跃数字用户。
调查发现，一名前员工利用身份验证漏洞，获取了数百万用户的姓名和电子邮件地址。除最初的账户信息外，攻击者还访问了配送地址列表页面1.48亿次，可能导致姓名、电话号码、住址，甚至匿名化的公寓入口密码泄露。Coupang允许用户在每个账户中保存最多20个配送地址，因此实际泄露的位置信息可能远超账户数量，受影响者或包括账户持有人的家人和熟人。
韩国科学技术信息通信部网络安全与网络政策办公室负责人崔宇赫在首尔的一场政府简报会上公布了调查结果。这一确认距离 Coupang 于2025年11月17日首次发现入侵近三个月，事件影响范围较公司最初的公开声明显著扩大。公开确认的延迟引发猜测，认为公告可能因担忧美国贸易压力而推迟。美国政界人士曾指称韩国政府歧视美国企业，调查组则断然否认了相关说法。
调查组强调，他们始终遵循法律原则，没有对任何公司区别对待，并在结果出炉后按照及时、透明披露的标准处理。此番表态回应了日益加剧的担忧，即此案可能受到外交考量影响，而非基于监管要求处理。
攻击经过
此次泄露源自组织内部。调查人员确认，攻击者是一名前 Coupang 员工，曾在任职期间开发用户身份验证软件。根据政府分析，此人从身份验证系统中窃取了一把签名密钥，于2025年1月5日至1月20日期间进行初步攻击测试，随后部署网络爬虫工具，系统性地提取数据。
攻击持续时间从2025年4月14日至11月8日，攻击者近七个月未被发现。利用窃取的签名密钥，这名前员工伪造了政府所称的电子通行凭证，完全绕过标准登录程序。即使离开公司，此人仍能借此持续访问 Coupang 服务。
韩国互联网振兴院数字威胁应对部门负责人李东根透露，调查人员发现，Coupang 现职开发人员曾将签名密钥保存在个人笔记本电脑上，这违反了内部规定：此类凭证必须保存在管理系统中。这种做法造成了可被利用的漏洞，最终导致数据泄露。
攻击者访问“编辑我的信息”页面，获取了包含姓名和电子邮件地址的33,673,817条记录。此外，配送地址列表页面被访问1.4805亿次，订单列表页面也出现约10万次未经授权的访问。调查人员确认，攻击者拥有可将数据传输至海外云服务器的系统，但无法核实此类传输是否实际发生。
政府调查结论
韩国当局对 Coupang 的安全状况作出了严厉评价。崔宇赫将此次事件定性为明显的管理失误，而非复杂的外部攻击。调查组发现，身份验证系统管理和签名密钥管控存在严重缺陷。
这是 Coupang 明显的管理失误，并非复杂的攻击。调查组发现，其身份验证系统和签名密钥管理存在缺陷。
调查发现多项违规行为。Coupang 未在强制规定的24小时期限内报告泄露事件，而是在11月19日通知当局，晚于规定的11月18日。更严重的是，公司据称违反了11月19日发布的数据保全令。尽管当局要求保留证据，Coupang 却未调整自动日志保存政策，导致2024年7月至11月的网页访问日志，以及2025年5月23日至6月2日的应用访问日志被删除。
该部宣布，计划因延迟报告违规行为处以行政罚款，金额最高可达3000万韩元。此外，官员已要求执法部门调查是否存在妨碍调查、销毁证据的行为。Coupang 必须在本月底前向该部提交预防措施，并计划于3月至5月落实，政府则将在6月至7月进行检查。
Coupang 的辩解与事实
在整个调查过程中，Coupang 一直坚称，虽然技术上有3370万个账户受到影响，但实际损害有限。公司称，根据攻击者的证词，攻击者硬盘上仅存有约3000条记录，之后已将其删除。监管机构和隐私权益倡导者对此提出强烈批评，认为这是企图淡化监管和声誉损失。
崔宇赫在简报会上直接驳斥了这一说法。他强调，按照韩国的数据保护标准，未经授权访问个人信息页面即构成数据泄露，无论数据是否存储在本地或传输至其他地方。
称之为访问，并不意味着责任更轻。3000条记录只是公司的说法，仅供参考。我们独立核实了所有材料，检查了 Coupang 服务器，以确定外部攻击者访问了多少数据，又泄露了多少数据。
Coupang 一名代表回应政府调查结果时表示，配送列表页面被访问1.48亿次，并不代表信息泄露的规模。该发言人称，这些访问是试图收集与3370万个账户关联的个人数据，而非证明有1.48亿条独立数据遭到泄露。然而，政府官员反驳称，如此庞大的访问请求量表明，攻击者有能力收集完整的用户档案。
这种分歧凸显了企业与监管机构对数据泄露的定义存在根本差异。Coupang 关注的是攻击者实际存储的数据，而当局则将任何未经授权查看个人信息的行为视为泄露事件，尤其是在有证据表明系统具备向海外传输数据的能力时。
地缘政治影响与美国法律施压
这起泄露事件已从国内网络安全事件演变为韩国与美国之间的重要双边议题。作为一家在美国上市、获得大量美国投资者支持的公司，Coupang 引起了美国议员的关注。他们认为，韩国监管机构采取强硬应对措施，可能是在针对一家美国企业进行歧视性执法。
临时首席执行官哈罗德·罗杰斯正面临多方面的法律压力。韩国警方就其涉嫌在泄露事件证词中作伪证一事，对罗杰斯进行了约12小时的讯问。与此同时，美国众议院司法委员会已传唤罗杰斯于2026年2月23日就此事件作证。国会调查将审视韩国监管机构是否对在美国上市的公司施加了不公平负担。
在纽约联邦法院，一起集体诉讼要求 Coupang 支付惩罚性赔偿，指控公司数据保护不足，且对泄露范围作出误导性披露。该诉讼代表了投资者和用户，他们声称自己因安全失误以及公司随后淡化事件而遭受损失。
一些在首尔运营的跨国公司私下警告称，此次应对涉及九个政府部门和数百名官员，多个机构联手调查的规模前所未有，与韩国本土企业受到的处理方式不同。他们以2025年 SK Telecom 泄露事件为例，该事件影响了2700万条记录，却未引发类似调查，并据此认为存在差别对待。不过，韩国科学技术信息通信部坚决否认偏离法律原则，并坚持称，对 Coupang 的处理与对任何面临类似违规行为的公司完全相同。
李在明总统曾公开承诺，要让韩国成为世界上最具吸引力的投资目的地。这使得韩国在展示强有力的数据保护执法与维持有利于外国资本的环境之间面临张力。Coupang 案如今成为一个试金石，考验首尔如何平衡消费者隐私保护与国际贸易关系。
监管后果与经营风险
除因延迟报告而面临的即时罚款外，Coupang 还面临严重的监管风险。公平交易委员会已警告称，公司可能被勒令暂停营业，这一严厉措施将使其运营全面停止。该委员会还在进行税务审计，并已收到针对创始人金范锡及前高管的国会投诉。
2月5日，Coupang 另行披露又有16.5万条用户记录遭到泄露，进一步引发公众愤怒，也强化了外界对公司最初低估损害程度的看法。
行业分析人士指出，此案为韩国消费者平台确立了新的合规基准。政府详细还原攻击过程，包括具体访问次数和时间线分析，表明其有意制定具有明确约束力的管控要求，适用于其他处理大量个人数据的公司。
对 Coupang 用户而言，泄露的数据带来了切实的安全风险。配送地址、电话号码和楼宇入口密码可能使客户面临被跟踪、定向诈骗和人身安全威胁。与金融机构可以通过注销和监控来缓解的支付卡泄露不同，地址和联系方式会长期保持敏感。用户账户中保存的家人或朋友等第三方地址，也使受影响人群扩大到 Coupang 直接客户之外。
要点
- 已确认 Coupang 有3367万条用户账户记录泄露，影响约三分之二的韩国人口
- 一名前员工窃取身份验证签名密钥，并于2025年4月至11月期间实施未经授权的访问
- 攻击者访问配送列表页面1.48亿次，地址、电话号码和楼宇入口密码可能因此泄露
- 韩国科学技术信息通信部将事件定性为明显的管理失误，并指出 Coupang 延迟报告及销毁证据
- 临时首席执行官哈罗德·罗杰斯面临韩国警方讯问，并已被美国国会传唤于2026年2月23日作证
- 美国纽约联邦法院的一起集体诉讼要求 Coupang 支付惩罚性赔偿
- 公平交易委员会已警告 Coupang 可能被暂停营业，并正在进行税务审计
- 2026年2月5日另行披露有16.5万条记录遭泄露，与此次主要泄露事件分开
- Coupang 必须在月底前提交预防措施，政府计划于6月至7月进行检查
