La filtración de Coupang en Corea del Sur expone 33,7 millones de cuentas de clientes

Qué ocurrió y por qué importa

Coupang, la mayor plataforma de comercio electrónico de Corea del Sur, reveló una filtración masiva de datos que expuso información personal vinculada a 33,7 millones de cuentas de clientes. Los investigadores afirman que el acceso no autorizado probablemente comenzó en junio a través de servidores ubicados fuera del país y pasó inadvertido durante meses. El alcance supera la mitad de la población nacional y pone a compradores habituales, familias y pequeñas empresas en la mira de posibles intentos de fraude que suelen producirse tras las grandes filtraciones de datos personales.

La empresa afirma que la información expuesta incluye nombres, números de teléfono móvil, direcciones de correo electrónico, direcciones de entrega y detalles de algunos pedidos anteriores. Según la compañía, no se accedió a datos de tarjetas de pago, información bancaria ni credenciales de acceso. Incluso sin datos financieros, la combinación de información de contacto e historial de pedidos puede facilitar estafas convincentes en las que los delincuentes se hacen pasar por personal de atención al cliente o envían falsas notificaciones de entrega. Se ha instado a los clientes a estar atentos a llamadas, mensajes de texto o correos electrónicos que soliciten códigos, contraseñas o datos de pago.

Coupang se disculpó y notificó el incidente a las autoridades poco después de detectar accesos inusuales que afectaban a un pequeño número de cuentas a mediados de noviembre. La cifra inicial, de unas 4.500 cuentas comprometidas, aumentó rápidamente a medida que los investigadores ampliaron el alcance de la pesquisa. La Policía investiga la posibilidad de que un antiguo empleado que ahora se encuentra fuera del país haya tenido un papel en el caso. Los reguladores examinan si Coupang infringió las normas de protección de datos y han advertido que habrá sanciones si se confirman incumplimientos.

Cómo se produjo la filtración

Según la empresa y funcionarios gubernamentales, la filtración afectó a información personal relacionada con entregas y parece haberse originado en accesos a través de servidores en el extranjero desde finales de junio. Coupang detectó actividad inusual el 18 de noviembre y notificó a las autoridades en un plazo de dos días. Tras bloquear la vía de acceso sospechosa y reforzar la vigilancia interna, la empresa inició una investigación conjunta con expertos en seguridad y las fuerzas del orden. A medida que avanzó el análisis forense, el número de cuentas afectadas llegó a decenas de millones.

Las autoridades afirman que pudo haberse aprovechado una vulnerabilidad en el proceso de verificación de ciertos servidores, lo que habría permitido a una persona ajena a la empresa extraer datos repetidamente sin activar alertas inmediatas. Esa posibilidad, junto con indicios de que alguien conocía bien los sistemas desde dentro, es ahora uno de los principales focos de la investigación. El Gobierno convocó una reunión de emergencia y formó un equipo público-privado para coordinar el análisis técnico, el apoyo a las víctimas y las medidas regulatorias.

Qué información quedó expuesta y cuáles son los riesgos

Según se informó, el conjunto de datos incluye información personal cotidiana que las personas comparten para recibir entregas: nombre, número de teléfono móvil, dirección de correo electrónico, dirección de entrega y parte del historial de pedidos. No incluía números de tarjetas de pago, información bancaria ni contraseñas. Esta diferencia importa para evaluar el riesgo financiero inmediato, pero la información expuesta aún permite realizar ataques de ingeniería social. Los estafadores pueden hacerse pasar por un comercio, una empresa de logística o incluso un banco y presionar a las personas para que revelen códigos de un solo uso o instalen programas maliciosos.

El phishing por mensajes de texto, conocido como «smishing», es una amenaza habitual tras las grandes filtraciones. Los atacantes utilizan falsas actualizaciones de entrega o alertas de cuenta, pero de apariencia convincente, para dirigir a las personas a páginas de inicio de sesión falsas o captar códigos de un solo uso y tomar el control de sus cuentas. La inclusión de detalles de pedidos puede hacer que los engaños parezcan más creíbles. Los clientes deben tratar con cautela los mensajes y las llamadas inesperados, sobre todo si solicitan pagos, códigos o acceso remoto a un dispositivo.

Aunque Coupang afirma que no se robaron contraseñas, los delincuentes suelen intentar restablecerlas utilizando datos de contacto filtrados. Esté atento a solicitudes de restablecimiento de contraseña o avisos de verificación que no haya pedido y confirme los cambios solo en la aplicación o el sitio web oficiales, no a través de un enlace recibido en un mensaje. Active la autenticación de dos factores cuando esté disponible. Revise los pedidos recientes y las direcciones de entrega guardadas para detectar cambios que no haya realizado.

Quién podría estar detrás del caso

Según funcionarios familiarizados con la investigación, la Policía identificó a un sospechoso que es antiguo empleado y ciudadano extranjero. Al parecer, la persona salió del país. Los investigadores analizan si aprovechó una deficiencia en la verificación de los servidores o si conservó el acceso después de dejar la empresa. El conocimiento interno puede facilitar la identificación de puntos débiles, especialmente si los registros del sistema y los permisos de acceso no se controlan rigurosamente.

El riesgo interno no se limita a las acciones malintencionadas. Los errores, los tokens de acceso que siguen activos y los procesos lentos para retirar permisos pueden exponer vías de acceso a datos que luego aprovechan atacantes externos. Para reducir este riesgo, son fundamentales controles de acceso sólidos, la renovación y revocación de credenciales, el registro continuo de actividad y la supervisión del comportamiento. Los reguladores han subrayado la gravedad de la filtración y han prometido una respuesta rápida.

El Ministerio de Ciencia y TIC, al referirse a la exposición de datos de contacto de millones de ciudadanos, fijó las expectativas para la investigación.

Señaló que se llevará a cabo una investigación rápida y se impondrán sanciones estrictas si se detectan infracciones.

Cómo respondieron las autoridades y Coupang

El Gobierno inició una investigación formal pocos días después del informe inicial y organizó un equipo de respuesta conjunta con las fuerzas del orden y organismos técnicos. La Comisión de Protección de Información Personal examina si se infringieron las normas de protección de datos. Coupang afirma que bloqueó la vía de acceso, reforzó la vigilancia interna y está colaborando plenamente. La empresa ha instado a los clientes a estar atentos a intentos de suplantación y a utilizar los canales oficiales de comunicación.

La magnitud de la filtración supera la de importantes incidentes ocurridos a principios de este año en una de las principales operadoras de telefonía móvil, que afectó a más de 23 millones de usuarios y dio lugar a una multa récord. Los reguladores han advertido que las sanciones serán severas si se determina que los controles eran inadecuados. Las autoridades también estudian si es necesario reforzar las directrices del sector sobre seguridad de servidores, retirada de accesos y verificación de permisos.

Por qué la certificación no evitó la filtración

Coupang cuenta con la certificación ISMS P, el estándar nacional de seguridad de la información y protección de datos personales. La empresa obtuvo la certificación en 2021 y la renovó en 2024. Aun así, ha registrado varios incidentes desde 2020 y ha recibido multas por infracciones anteriores. Esto ha intensificado un debate más amplio sobre lo que realmente garantiza la certificación. Las auditorías de ISMS P se centran en políticas, procesos y controles documentados, pero la certificación no garantiza que no haya fallos en tiempo real, errores humanos o abusos de acceso interno.

Los críticos sostienen que las auditorías pueden dar prioridad al cumplimiento documental frente a pruebas sólidas de que los controles funcionan bajo presión. Las plataformas complejas dependen de una extensa red de microservicios, integraciones de terceros y grandes equipos. El panorama de riesgos puede cambiar rápidamente. Los ciclos de certificación, periódicos y basados en listas de verificación, pueden pasar por alto debilidades prácticas que solo aparecen en sistemas en funcionamiento; por ejemplo, tokens de acceso de larga duración, deficiencias en la autenticación de servidores o una correlación incompleta de registros entre distintos entornos.

La situación en otras jurisdicciones ayuda a entender cómo se relacionan las sanciones y la prevención. El Reglamento General de Protección de Datos de la Unión Europea (RGPD) exige incorporar la privacidad desde el diseño y notificar las filtraciones en un plazo de 72 horas, y permite imponer multas de hasta el 4 % de los ingresos globales. En Estados Unidos, la Comisión Federal de Comercio ha impuesto sanciones cuantiosas a empresas que gestionaron mal los datos de los usuarios o engañaron a los consumidores. Japón reforzó sus normas en virtud de la Ley de Protección de la Información Personal tras incidentes de gran repercusión, e incorporó reglas internas de acceso y auditorías más estrictas. El sistema de Corea del Sur se considera ampliamente riguroso, pero la repetición de incidentes de gran magnitud demuestra que la aplicación de las normas, la vigilancia y la prevención aún deben adaptarse a métodos de ataque que cambian rápidamente y a los riesgos internos.

Cómo se compara con filtraciones de datos anteriores en Corea

Corea del Sur ha sufrido varias filtraciones emblemáticas en las últimas dos décadas. En 2011, unos piratas informáticos robaron datos de alrededor de 35 millones de cuentas de una importante red social y portal. En 2014, varias empresas de tarjetas de crédito perdieron decenas de millones de registros que incluían números de identificación de residentes y datos de tarjetas. Otros casos anteriores afectaron a mercados en línea y empresas energéticas, y en años recientes también se han registrado filtraciones en operadoras de telefonía móvil. Un incidente reciente en uno de los principales proveedores de telecomunicaciones afectó a más de 23 millones de usuarios y dio lugar a la mayor sanción impuesta hasta la fecha por infracciones de las leyes de información personal.

El caso de Coupang destaca por su magnitud y por el posible papel de un antiguo empleado. También se produce tras una serie de incidentes menores en la empresa, lo que refuerza la preocupación pública sobre si se han cumplido las promesas de mejorar la seguridad. La combinación de escala, duración y conocimiento interno de los sistemas supone una prueba importante tanto para la gobernanza empresarial como para el marco nacional de protección de datos.

Qué pueden hacer ahora los clientes

Coupang afirma que no hay pruebas de que se hayan expuesto datos de pago o contraseñas. Aun así, las grandes filtraciones suelen dar lugar a estafas que se aprovechan de nombres, números de teléfono, direcciones y detalles de pedidos. Unas pocas medidas sencillas reducen el riesgo y ayudan a reaccionar con rapidez si alguien intenta engañarlo.

• Trate con cautela las llamadas, los mensajes de texto y los correos electrónicos no solicitados, sobre todo si piden pagos, códigos de un solo uso o datos de la cuenta.
• No haga clic en enlaces incluidos en mensajes sobre entregas o cuentas. Abra la aplicación oficial o escriba usted mismo la dirección del sitio web.
• Active la autenticación de dos factores en sus cuentas cuando esté disponible.
• Revise el historial de su cuenta y la libreta de direcciones de entrega para detectar cambios que no haya realizado.
• Utilice un gestor de contraseñas y evite reutilizar contraseñas en cuentas de compras, correo electrónico y banca.
• Desconfíe de las solicitudes para instalar programas de asistencia remota en su teléfono o computadora.
• Comuníquese con atención al cliente a través de la aplicación o el sitio web oficiales si recibe mensajes sospechosos que dicen proceder de la empresa.

Si cree que alguien está usando indebidamente sus datos, denúncielo ante las autoridades y su operador de telefonía móvil. Guarde capturas de pantalla de los mensajes sospechosos y anote las horas y los números de teléfono. Informar rápidamente ayuda a los investigadores a detectar patrones más amplios y bloquear dominios y números maliciosos.

Repercusiones empresariales y en el mercado

Las grandes filtraciones suelen acarrear costos que van mucho más allá de la reparación técnica. Las empresas gastan en análisis forenses, servicios de protección de identidad, rediseño de sistemas y atención al cliente, y además afrontan medidas regulatorias y demandas judiciales. El impacto en la reputación puede perdurar, especialmente en plataformas que dependen de compras recurrentes y de una fuerte lealtad a la marca. Ya aumentan las demandas de rendición de cuentas, y las autoridades de protección de datos han dicho que considerarán imponer sanciones si se demuestran deficiencias de cumplimiento.

Coupang cotiza en Estados Unidos y opera a escala nacional en Corea del Sur, por lo que está bajo el escrutinio de varios reguladores e inversionistas. Es probable que sus próximos informes y presentaciones se centren en los cambios en la gestión de accesos, la revocación de credenciales, la verificación de servidores, la correlación de registros y la gestión de integraciones de terceros. Será necesario mantener la inversión en personal, procesos y tecnología para recuperar la confianza y reducir la posibilidad de que un fallo persista durante meses antes de ser detectado.

Qué hay que saber

• Quedó expuesta información personal de 33,7 millones de cuentas de clientes de Coupang.
• Los datos filtrados incluyen nombres, números de teléfono móvil, direcciones de correo electrónico, direcciones de entrega y parte del historial de pedidos.
• El conjunto de datos expuesto no incluía datos de tarjetas de pago, información bancaria ni contraseñas de acceso.
• Es probable que el acceso no autorizado comenzara en junio y pasara inadvertido hasta mediados de noviembre.
• Las autoridades investigan a un antiguo empleado sospechoso y han convocado un equipo de respuesta de emergencia.
• El Ministerio de Ciencia y TIC advirtió que impondrá sanciones estrictas si se confirman infracciones de las leyes de protección de datos.
• Coupang afirma que bloqueó la vía de acceso y reforzó la vigilancia interna.
• Se ha instado a los clientes a desconfiar de llamadas, mensajes de texto y correos electrónicos de personas que se hacen pasar por la empresa.
• El caso ha intensificado el debate sobre la eficacia de certificaciones nacionales de seguridad como ISMS P.
• La filtración supera la magnitud de incidentes recientes en otras grandes empresas y es una de las mayores registradas en Corea del Sur.