Coupang enfrenta una investigación y una posible multa de un billón de wones tras una filtración que afecta a 33,7 millones de cuentas

Qué ocurrió y por qué es importante

Corea del Sur se ha visto sacudida por una grave filtración en Coupang, la mayor tienda minorista en línea del país, que expuso información personal vinculada a unos 33,7 millones de cuentas de clientes. La magnitud es extraordinaria: afecta a cerca de dos tercios de la población nacional. El incidente ha desencadenado una amplia respuesta de la Presidencia, los organismos reguladores y las fuerzas del orden, y ya está dando forma a un nuevo debate sobre cómo protegen las empresas los datos personales en una economía que se digitaliza rápidamente.

Coupang afirma que detectó un acceso no autorizado el 18 de noviembre y que informó a las autoridades. Revisiones posteriores revelaron que la filtración probablemente comenzó el 24 de junio a través de servidores ubicados en el extranjero y se prolongó durante meses sin ser detectada. La empresa se ha disculpado y está cooperando con los investigadores. Coupang asegura que no se accedió a los datos de pago ni a las contraseñas, pero sí quedaron expuestos nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y parte del historial de pedidos.

El presidente Lee Jae Myung calificó la filtración de llamada de atención sobre la protección de la privacidad y ordenó a los funcionarios preparar sanciones más estrictas. En virtud de la Ley de Protección de la Información Personal, las empresas que no apliquen medidas de seguridad adecuadas pueden recibir multas de hasta el 3 % de sus ingresos anuales. En el caso de una empresa del tamaño de Coupang, ese límite podría acercarse o superar un billón de wones, según la base de ingresos utilizada para el cálculo. La policía, la Agencia de Internet y Seguridad de Corea (KISA) y la Comisión de Protección de la Información Personal (PIPC) han iniciado investigaciones, y las autoridades han advertido a la población que esté atenta a los intentos de suplantación de identidad y las estafas que aprovechen los datos de contacto filtrados.

Cómo se produjo la filtración

Las autoridades afirman que la intrusión comenzó a finales de junio mediante una infraestructura en el extranjero y continuó hasta que fue descubierta en noviembre. Los investigadores están rastreando la actividad de la red y revisando cómo los sistemas de Coupang autenticaban el acceso interno. Los primeros hallazgos apuntan a deficiencias en los controles de autenticación. Según funcionarios informados sobre el caso, una clave de autenticación vinculada a un exempleado seguía activa después de que este dejara la empresa, lo que abrió una vía de acceso a la información de los clientes. La policía está investigando si un antiguo desarrollador, que según las informaciones es ciudadano chino y ahora se encuentra en el extranjero, aprovechó credenciales o claves de firma que debían haberse revocado.

Coupang afirma que desde entonces ha bloqueado la vía de acceso, aumentado la supervisión y contratado a expertos independientes en seguridad. La empresa también notificó a KISA, la PIPC y la Agencia Nacional de Policía, y está enviando avisos a los usuarios afectados. Paralelamente, varios ministerios formaron un equipo conjunto para establecer la secuencia de los hechos y determinar si estaban implantadas las medidas de protección exigidas. La investigación incluye una revisión de posibles infracciones de las normas de protección de la información personal.

Por qué las claves inactivas son peligrosas

Las plataformas modernas dependen de claves y tokens que conceden a máquinas y empleados permisos limitados para realizar tareas específicas. Si una clave sigue siendo válida después de que un empleado cambie de funciones o deje la empresa, puede convertirse en una vía directa para acceder sin autorización. Las buenas prácticas de seguridad exigen limitar los accesos a los permisos mínimos necesarios, revocarlos con rapidez cuando cambian las funciones y renovar las claves con frecuencia para que no sigan siendo válidas durante largos periodos. Las claves de larga duración son peligrosas porque un solo fallo al revocar el acceso o supervisarlo puede dejar expuestos grandes volúmenes de datos. En este caso, los investigadores analizan si se utilizaron credenciales que seguían activas para desplazarse de forma discreta por los sistemas durante varios meses.

La respuesta del Gobierno y las consecuencias legales

La filtración pasó rápidamente de ser un incidente corporativo a convertirse en un asunto de interés nacional. La Presidencia convocó a altos funcionarios y ordenó presentar propuestas para aumentar las sanciones y reforzar la protección de los consumidores. El Ministerio de Ciencia y TIC, la PIPC y la policía llevan a cabo una investigación conjunta que abarca tanto el análisis forense técnico como el cumplimiento de las leyes de seguridad de datos. KISA publicó avisos para la población en los que recomienda estar alerta ante estafas que podrían aprovechar los datos de contacto y la información de entrega filtrados.

En una reunión del gabinete, el presidente Lee criticó el largo intervalo entre el inicio de la intrusión y su descubrimiento. Instó a exigir responsabilidades con rapidez y a cambiar la forma en que las grandes empresas priorizan la seguridad de los datos de los usuarios.

El presidente Lee afirmó que era inaceptable que la filtración pasara inadvertida durante meses y que debían cambiar las normas de protección de datos. Pidió sanciones más severas y que se exigieran responsabilidades con mayor rapidez. Después, amplió su advertencia para referirse a la cultura empresarial en torno a la privacidad.

Es asombroso que Coupang ni siquiera detectara por sí misma la filtración durante los cinco meses transcurridos desde que comenzó el incidente. Deben cambiar por completo las malas prácticas y la idea de no prestar la atención necesaria a la protección de los datos personales, un activo clave en la era de la inteligencia artificial y la digitalización.

Las consecuencias legales podrían ser importantes. Según la legislación vigente, la multa administrativa máxima es del 3 % de los ingresos si los organismos reguladores concluyen que no se aplicaron medidas de seguridad adecuadas. Coupang declara ventas anuales de decenas de miles de millones de dólares. Una sanción del 3 % sobre esa base podría alcanzar cientos de miles de millones de wones e incluso superar el billón de wones, al convertirla según los tipos de cambio recientes. Los reguladores también están revisando las normas sobre indemnizaciones punitivas y si deben aumentar aún más las sanciones por infracciones reiteradas o de gran magnitud.

Los mercados financieros reaccionaron cuando se conoció el alcance del incidente. Las acciones de Coupang cayeron después de que la policía confirmara la magnitud de la filtración y anunciara que rastreaba direcciones IP y revisaba vulnerabilidades tecnológicas. Los analistas prevén que la pérdida de clientes sea limitada debido a la fortaleza de Coupang en el mercado, pero advierten que las indemnizaciones a las víctimas y las posibles sanciones podrían generar grandes costos extraordinarios.

Qué información quedó expuesta y cómo protegerse

Coupang afirma que los datos expuestos incluyen información básica de contacto y entrega, así como parte del historial de pedidos. La empresa asegura que no tiene pruebas de que se hayan visto comprometidos números de tarjetas de crédito, datos bancarios o contraseñas. Esto reduce el riesgo inmediato de robo directo de dinero, pero los datos de contacto y las direcciones filtrados son valiosos para los estafadores expertos en suplantar identidades.

Qué información se obtuvo

Según los avisos de la empresa y las declaraciones oficiales, los datos expuestos incluyen:

• Nombre completo
• Dirección de correo electrónico
• Número de teléfono móvil y otros números de teléfono
• Dirección de envío
• Parte del historial de pedidos

Los delincuentes pueden utilizar esta combinación para que los mensajes y las llamadas fraudulentas parezcan convincentes. Es más probable que las personas caigan en una notificación de entrega falsa que incluya su nombre y la dirección correcta y hagan clic en un enlace malicioso o compartan sus datos de pago. KISA ha pedido a los consumidores que estén alerta ante llamadas, mensajes de texto y correos electrónicos que parezcan proceder de Coupang o de servicios de mensajería, y que eviten hacer clic en enlaces de mensajes no solicitados.

Medidas prácticas para los clientes

• Desconfíe de correos electrónicos, mensajes de texto o llamadas inesperados que mencionen sus pedidos o problemas de entrega. No haga clic en los enlaces. Acceda directamente a la aplicación o al sitio web oficial y consulte allí las notificaciones.
• Active la verificación en dos pasos en sus cuentas cuando esté disponible. Los controles de inicio de sesión más estrictos limitan los daños si se hace un uso indebido de otros datos.
• Revise los pedidos recientes y la actividad de su cuenta para detectar cualquier cosa que no reconozca. Informe de cualquier actividad sospechosa al servicio de atención al cliente.
• Desconfíe de las solicitudes de pago para resolver problemas de entrega. Las plataformas de confianza no solicitan datos de tarjetas por mensaje de texto ni por teléfono.
• Considere utilizar un gestor de contraseñas y contraseñas distintas para cada servicio. Así se reduce el riesgo de reutilizarlas en varios sitios.
• Si cree que alguien está utilizando su identidad de forma indebida, presente una denuncia ante las autoridades y solicite a la empresa la documentación necesaria para cualquier informe.

Coupang ha afirmado que está notificando a los usuarios afectados y que ha bloqueado la vía de acceso que permitió la intrusión. La empresa también ha reforzado la supervisión interna y contratado a expertos independientes para ayudar con la respuesta y la reparación de los daños.

Impacto en Coupang y en el mercado de compras en línea

Coupang es un gigante del comercio minorista coreano, con cerca de 25 millones de usuarios activos en los últimos trimestres. Se ha expandido a la entrega rápida de alimentos, la logística y el streaming, y ofrece servicios en Japón y Taiwán. La empresa afirma que no hay pruebas de que los datos de su unidad de Taiwán o de otros servicios asociados fuera de Corea del Sur se hayan visto afectados. Aun así, las consecuencias en el país son graves porque la filtración alcanzó a muchos hogares.

Los inversores hicieron caer inicialmente el precio de las acciones cuando se hizo pública la magnitud de la filtración y la policía abrió una investigación formal. El impacto inmediato en los ingresos podría ser limitado si la mayoría de los clientes se quedan, pero el costo de gestionar el incidente, las posibles indemnizaciones y cualquier sanción podrían ser elevados. Si los organismos reguladores aplican el porcentaje máximo, la multa por sí sola podría acercarse a un billón de wones, según la base de ingresos utilizada.

El episodio se produce, además, en un año marcado por ciberincidentes de gran repercusión en Corea del Sur. En un caso distinto, SK Telecom recibió una cuantiosa sanción tras una filtración que afectó a decenas de millones de abonados. Otro caso relacionado con Lotte Card puso de relieve cómo los delincuentes atacan a empresas que poseen abundantes datos sobre la identidad y las compras de las personas. Estos casos precedieron a la filtración de Coupang y elevaron la presión para que los organismos reguladores actúen con mayor firmeza.

Por qué siguen produciéndose grandes filtraciones en Corea del Sur

Existe un patrón que combina enormes bases de datos, sistemas internos complejos y la presión por avanzar rápido en mercados en línea competitivos. Cuando una empresa depende de numerosos desarrolladores internos y externos y utiliza muchos servicios interconectados, la supervisión puede debilitarse. Las claves y los tokens pueden acumularse y no caducar cuando corresponde. El acceso no siempre se limita a lo estrictamente necesario. En ese entorno, una sola clave que no se haya revocado o un servidor mal configurado puede ofrecer a un atacante una vía directa.

Las autoridades han afirmado que las grandes filtraciones reiteradas desde 2021 apuntan a deficiencias estructurales en la protección de la información personal. La PIPC impuso recientemente una multa sin precedentes a una operadora de telecomunicaciones tras una filtración que pasó inadvertida durante años. En el caso de Coupang, los investigadores analizan si la gestión interna y los controles de acceso fueron insuficientes pese al importante gasto en seguridad y tecnología de la información. Fuentes del sector sostienen que el gasto por sí solo no garantiza una protección sólida si no se aplican a diario la renovación de claves, una disciplina rigurosa de auditoría y una gestión adecuada del ciclo de vida de las credenciales.

El Gobierno ha ordenado revisar las indemnizaciones punitivas y las sanciones, lo que indica una presión para impulsar cambios que van más allá de una sola empresa. Otras plataformas han comenzado a realizar comprobaciones y auditorías de seguridad internas. El debate se extiende ahora a los equipos de ingeniería transfronterizos, la localización de los datos y la necesidad de imponer controles más estrictos a las empresas con centros de desarrollo en el extranjero que gestionan datos de usuarios nacionales.

Qué normas se aplican a las empresas y qué podría cambiar

En virtud de la Ley de Protección de la Información Personal, las empresas deben proteger los datos personales mediante medidas técnicas y administrativas adecuadas. Los fallos que provoquen filtraciones pueden dar lugar a órdenes correctivas, multas administrativas y reclamaciones por daños y perjuicios. El límite de las multas es del 3 % de los ingresos, y las nuevas propuestas podrían aumentar la responsabilidad cuando se produzcan daños graves o negligencia reiterada. Las autoridades también evalúan si deben acortar los plazos para informar de incidentes, aumentar las pruebas obligatorias de los controles de acceso y exigir pruebas más sólidas de la gestión de claves y de la revocación de permisos cuando el personal deje la empresa o cambie de funciones.

Para las grandes plataformas, las lecciones son claras, aunque aplicarlas sea difícil. Las claves y los tokens deben tener una vigencia breve. El acceso debe limitarse a los permisos mínimos necesarios. La revocación de permisos debe ser automática e inmediata cuando cambien las funciones. Los sistemas de alerta y detección deben señalar consultas inusuales a las bases de datos de usuarios. Las pruebas internas periódicas realizadas por equipos de ataque simulado y las revisiones independientes pueden ayudar a encontrar puntos débiles. Es probable que los organismos reguladores esperen avances visibles en estos aspectos básicos como parte de cualquier plan de reparación.

Según los hallazgos actuales, el riesgo inmediato para los usuarios se centra en las estafas dirigidas, no en el robo directo de datos de pago. Aun así, estas estafas pueden causar daños reales, sobre todo a quienes dependen de los mensajes de entrega y las notificaciones móviles en su vida diaria. La combinación de un nombre, una dirección y detalles de un pedido reciente puede servir de cebo convincente. La educación de los consumidores y unos sencillos pasos de verificación en la aplicación pueden frenar esos ataques si los usuarios saben qué señales buscar.

En síntesis

• Quedaron expuestas unas 33,7 millones de cuentas de clientes de Coupang, en la mayor filtración de Corea del Sur en más de una década.
• Los datos filtrados incluyen nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y parte del historial de pedidos. Según la empresa, no se incluyeron datos de pago ni contraseñas.
• Se cree que el acceso no autorizado comenzó el 24 de junio y fue detectado el 18 de noviembre.
• Las autoridades investigan deficiencias de autenticación y si un antiguo empleado utilizó claves de acceso que seguían activas.
• El presidente Lee Jae Myung ordenó imponer sanciones más estrictas y exigir responsabilidades con mayor rapidez, y calificó de asombrosa la demora de varios meses en detectar la filtración.
• Según la legislación vigente, los organismos reguladores pueden imponer multas de hasta el 3 % de los ingresos, lo que podría equivaler a cientos de miles de millones de wones o más.
• KISA publicó avisos para la población ante posibles intentos de suplantación de identidad y estafas que aprovechen los datos de contacto filtrados.
• La policía, KISA y la PIPC iniciaron una investigación conjunta, y Coupang afirma que ha bloqueado la vía de acceso y contratado a expertos externos.
• Varios bufetes preparan demandas colectivas y los analistas prevén importantes costos extraordinarios por las indemnizaciones y posibles sanciones.
• El caso se suma a un año de grandes filtraciones en Corea del Sur y probablemente acelerará los cambios normativos sobre protección de datos y controles de acceso internos.