La magnitud de la filtración
El Ministerio de Ciencia y TIC de Corea del Sur confirmó el martes que quedaron comprometidos 33,67 millones de registros de usuarios en una filtración masiva de datos de Coupang, la principal plataforma de comercio electrónico del país y una empresa que cotiza en Nasdaq. La cifra representa aproximadamente dos tercios de la población surcoreana, de 51 millones de personas, lo que convierte este caso en una de las mayores filtraciones de datos de consumidores de la historia del país y afecta a una parte importante de la población con actividad digital.
Contenido
La investigación reveló que un exempleado aprovechó vulnerabilidades de autenticación para acceder a los nombres y las direcciones de correo electrónico de millones de usuarios. Además de la información inicial de las cuentas, el atacante accedió 148 millones de veces a páginas con listas de direcciones de entrega, lo que pudo exponer nombres, números de teléfono, domicilios e incluso contraseñas anonimizadas de entradas de edificios de apartamentos. Como Coupang permite guardar hasta 20 direcciones de entrega por cuenta, el volumen real de datos de ubicación comprometidos podría superar ampliamente el número de cuentas afectadas y abarcar a familiares y conocidos de los titulares de las cuentas.
Choi Woo-hyuk, director de la oficina de política de ciberseguridad y redes del ministerio, presentó estos hallazgos en una rueda de prensa del Gobierno en Seúl. La confirmación llegó casi tres meses después de que Coupang detectara por primera vez la intrusión, el 17 de noviembre de 2025, y supone una importante ampliación de lo que la empresa había comunicado inicialmente. La demora en la confirmación pública había suscitado especulaciones sobre un posible aplazamiento del anuncio por temor a presiones comerciales de Estados Unidos y a las acusaciones de políticos estadounidenses de que el Gobierno surcoreano discrimina a las empresas estadounidenses. El equipo investigador negó categóricamente esas acusaciones.
El equipo investigador recalcó que nunca se apartó de los principios legales ni trató de forma diferente a ninguna empresa, y que se atuvo a las normas de divulgación rápida y transparente a medida que se conocían los resultados. Esta declaración respondió a la creciente preocupación de que el caso pudiera estar condicionado por consideraciones diplomáticas, en lugar de por requisitos regulatorios.
Cómo se produjo el ataque
La filtración se originó dentro de la organización. Los investigadores identificaron al atacante como un exempleado de Coupang que había desarrollado programas de autenticación de usuarios durante su empleo en la empresa. Según el análisis del Gobierno, esta persona robó una clave de firma de un sistema de autenticación, realizó pruebas preliminares de ataque entre el 5 y el 20 de enero de 2025 y, posteriormente, utilizó herramientas de rastreo web para extraer datos de forma sistemática.
El periodo del ataque se extendió del 14 de abril al 8 de noviembre de 2025, lo que permitió al autor operar sin ser detectado durante casi siete meses. Con la clave de firma robada, el exempleado falsificó lo que las autoridades describieron como una credencial electrónica de acceso y eludió por completo los procedimientos habituales de inicio de sesión. Este método le permitió seguir accediendo a los servicios de Coupang después de dejar la empresa.
Lee Dong-geun, director de la División de Respuesta a Amenazas Digitales de la Agencia de Seguridad e Internet de Corea, reveló que los investigadores descubrieron que desarrolladores actuales de Coupang habían guardado claves de firma en computadoras portátiles personales, en contra de las normas internas que exigen mantener esas credenciales en sistemas de gestión. Esta práctica creó la vulnerabilidad que hizo posible la filtración.
El atacante accedió a la página «Editar mi información» para obtener 33.673.817 registros con nombres y direcciones de correo electrónico. Además, accedió 148,05 millones de veces a la página de la lista de direcciones de entrega, mientras que la página de pedidos registró aproximadamente 100.000 consultas no autorizadas. Los investigadores confirmaron que el atacante disponía de sistemas capaces de transmitir datos a servidores en la nube en el extranjero, aunque no pudieron verificar si esas transferencias llegaron a realizarse.
El dictamen del Gobierno
Las autoridades surcoreanas emitieron una dura evaluación de la seguridad de Coupang. Choi Woo-hyuk calificó el incidente de claro fallo de gestión, no de sofisticado ataque externo. El equipo investigador detectó graves deficiencias en la gestión del sistema de autenticación y el control de las claves de firma.
Se trata de un claro fallo de gestión de Coupang, no de un ataque sofisticado. El equipo detectó deficiencias en la gestión de los sistemas de autenticación y las claves de firma.
La investigación descubrió varias infracciones de las normas. Coupang no notificó la filtración dentro del plazo obligatorio de 24 horas: informó a las autoridades el 19 de noviembre, en lugar del 18 de noviembre, como se le exigía. Más grave aún, la empresa habría incumplido una orden de conservación de datos emitida el 19 de noviembre. Pese a las instrucciones de preservar las pruebas, Coupang no modificó las políticas de almacenamiento automático de registros, lo que provocó la eliminación de los registros de acceso web de julio a noviembre de 2024 y de los registros de acceso a la aplicación del 23 de mayo al 2 de junio de 2025.
El ministerio anunció que impondrá multas administrativas por la demora en la notificación, que podrían alcanzar los 30 millones de wones. Además, pidió a las fuerzas del orden que investiguen una posible obstrucción relacionada con la destrucción de pruebas. Coupang debe presentar medidas preventivas al ministerio antes de que termine el mes en curso. Está previsto que se apliquen entre marzo y mayo, y que el Gobierno las inspeccione en junio y julio.
La defensa de Coupang frente a la realidad
Durante toda la investigación, Coupang sostuvo que, aunque técnicamente quedaron afectadas 33,7 millones de cuentas, el daño real fue limitado. La empresa afirmó que, según el testimonio del atacante, solo se almacenaron aproximadamente 3.000 registros en el disco duro de este y luego se eliminaron. Reguladores y defensores de la privacidad han criticado duramente esta postura, que consideran un intento de minimizar las consecuencias regulatorias y el daño a la reputación de la empresa.
Choi Woo-hyuk cuestionó directamente esta interpretación durante su rueda de prensa. Recalcó que, según las normas surcoreanas de protección de datos, el acceso no autorizado a páginas con información personal constituye una filtración de datos, con independencia de que la información se haya almacenado localmente o transmitido a otro lugar.
Calificarlo de acceso no reduce la responsabilidad. La cifra de 3.000 registros es solo una afirmación de la empresa y sirve únicamente como referencia. Verificamos por nuestra cuenta todos los materiales. Examinamos los servidores de Coupang para determinar a cuántos datos accedieron los atacantes externos y cuántos se filtraron.
Un representante de Coupang respondió a las conclusiones del Gobierno y sostuvo que los 148 millones de accesos a la página de la lista de direcciones de entrega no indican la magnitud de la filtración de información. El portavoz describió esos accesos como intentos de recopilar datos personales individuales vinculados a las 33,7 millones de cuentas, y no como prueba de 148 millones de filtraciones distintas. Sin embargo, funcionarios del Gobierno respondieron que el elevado número de solicitudes de acceso demuestra que el atacante tenía capacidad para obtener perfiles completos de los usuarios.
La discrepancia pone de relieve las diferencias fundamentales entre la manera en que las empresas y los reguladores definen las filtraciones de datos. Coupang se centra en los datos cuyo almacenamiento por parte del atacante está confirmado, mientras que las autoridades consideran que cualquier consulta no autorizada de información personal constituye una filtración, especialmente cuando hay pruebas de que existían sistemas preparados para transmitir datos al extranjero.
Consecuencias geopolíticas y presión legal de Estados Unidos
La filtración ha pasado de ser un incidente nacional de ciberseguridad a convertirse en un asunto bilateral de importancia entre Corea del Sur y Estados Unidos. Como empresa que cotiza en Estados Unidos y cuenta con un importante respaldo de inversionistas estadounidenses, Coupang ha atraído la atención de legisladores de ese país, que consideran que la contundente respuesta regulatoria surcoreana podría constituir un trato discriminatorio contra una empresa estadounidense.
El director ejecutivo interino, Harold Rogers, afronta una creciente presión legal en varios frentes. La policía surcoreana interrogó a Rogers durante unas 12 horas por acusaciones de perjurio relacionadas con su testimonio sobre la filtración. Al mismo tiempo, la Comisión Judicial de la Cámara de Representantes de Estados Unidos citó a Rogers para que testifique el 23 de febrero de 2026 sobre el incidente. La investigación del Congreso examina si los reguladores coreanos están imponiendo cargas injustas a las empresas que cotizan en Estados Unidos.
En un tribunal federal de Nueva York, una demanda colectiva reclama una indemnización punitiva a Coupang y alega que la empresa no protegió adecuadamente los datos y ofreció información engañosa sobre el alcance de la filtración. La demanda representa a inversionistas y usuarios que afirman haber sufrido pérdidas por fallos de seguridad y por los intentos posteriores de la empresa de restar importancia al incidente.
Algunas empresas multinacionales con operaciones en Seúl han advertido en privado que la respuesta, que abarca varias agencias gubernamentales e involucra a nueve organismos y cientos de funcionarios, no tiene precedentes en comparación con el trato dispensado a empresas nacionales. Citan una filtración de 2025 en SK Telecom que afectó a 27 millones de registros y no dio lugar a investigaciones comparables, como prueba de un trato desigual. Sin embargo, el Ministerio de Ciencia y TIC ha negado rotundamente haberse apartado de los principios legales e insiste en que Coupang recibió el mismo trato que cualquier empresa ante infracciones similares.
El presidente Lee Jae-myung se ha comprometido públicamente a convertir Corea del Sur en el mejor destino de inversión del mundo, lo que genera tensión entre la necesidad de demostrar una aplicación rigurosa de las normas de protección de datos y la de mantener condiciones favorables para el capital extranjero. El caso de Coupang se ha convertido en una prueba de cómo Seúl equilibra la protección de la privacidad de los consumidores con sus relaciones comerciales internacionales.
Consecuencias regulatorias y riesgos empresariales
Además de las multas inmediatas por la demora en la notificación, Coupang afronta graves riesgos regulatorios. La Comisión de Comercio Justo ha advertido de una posible suspensión de las actividades, una medida drástica que paralizaría por completo las operaciones de la empresa. La comisión también está realizando una auditoría fiscal y ha recibido una denuncia parlamentaria contra el fundador, Bom Kim, y antiguos directivos.
La filtración también dio lugar a una notificación separada el 5 de febrero de 2026, en la que se reveló que otros 165.000 registros de usuarios habían quedado comprometidos. Este segundo anuncio intensificó la indignación pública y reforzó la percepción de que las primeras evaluaciones de la empresa habían minimizado el daño.
Analistas del sector señalan que el caso establece nuevos parámetros de cumplimiento para las plataformas surcoreanas de consumo. La reconstrucción detallada del ataque por parte del Gobierno, con cifras concretas de accesos y un análisis cronológico, indica que busca establecer requisitos de control específicos aplicables a otras empresas que procesan grandes volúmenes de datos personales.
Para los usuarios de Coupang, los datos comprometidos generan riesgos concretos para su seguridad. Las direcciones de entrega, los números de teléfono y las contraseñas de entrada a edificios exponen a los clientes a posibles situaciones de acoso, fraude dirigido y amenazas a su seguridad física. A diferencia de las filtraciones de tarjetas de pago, cuyos efectos las entidades financieras pueden mitigar mediante su cancelación y vigilancia, las direcciones y los datos de contacto siguen siendo información sensible de forma permanente. La inclusión de direcciones de terceros, como las de familiares o amistades guardadas en las cuentas de los usuarios, amplía la población afectada más allá de los clientes directos de Coupang.
Lo esencial
- Se confirmó la filtración de 33,67 millones de cuentas de usuarios de Coupang, lo que afecta a aproximadamente dos tercios de la población surcoreana
- Un exempleado robó claves de firma de autenticación y accedió sin autorización a los sistemas entre abril y noviembre de 2025
- El atacante accedió 148 millones de veces a páginas con listas de direcciones de entrega, lo que pudo exponer domicilios, números de teléfono y códigos de acceso a edificios
- El Ministerio de Ciencia y TIC calificó el incidente de claro fallo de gestión y sancionó a Coupang por la demora en la notificación y la destrucción de pruebas
- El director ejecutivo interino Harold Rogers afronta un interrogatorio policial en Corea y una citación del Congreso de Estados Unidos para el 23 de febrero de 2026
- Una demanda colectiva presentada en un tribunal federal de Nueva York reclama una indemnización punitiva
- La Comisión de Comercio Justo ha advertido de una posible suspensión de las actividades y está realizando una auditoría fiscal
- El 5 de febrero de 2026 se dieron a conocer otros 165.000 registros, en un caso separado de la filtración principal
- Coupang debe presentar medidas preventivas antes de que termine el mes; la inspección del Gobierno está prevista para junio y julio
