En diciembre de 2025, Coupang, la mayor empresa de comercio electrónico de Corea del Sur, reveló que un ex empleado había robado una clave de datos interna y había accedido a la información personal de 33,7 millones de cuentas de clientes, casi la totalidad de la población adulta del país. La brecha había estado en curso desde junio de 2025 antes de ser detectada, y entre 2.600 y 3.000 cuentas tuvieron sus datos realmente extraídos.
La respuesta fue rápida y severa. La Comisión de Protección de Información Personal de Corea multó a Coupang con un récord de 560.000 millones de wones (~409 millones de dólares), la mayor sanción por protección de datos en la historia del país. El gobierno puso en marcha una investigación coordinada de todo el gobierno que incluyó registros policiales en la sede de la empresa en Seúl, una auditoría fiscal especial y citaciones parlamentarias para los directivos. Coupang comprometió 1,69 billones de wones (~1.180 millones de dólares) a un fondo de compensación a clientes.
El consejero delegado Park Dae-jun dimitió en diciembre de 2025. El caso se convirtió en un escándalo nacional porque Coupang tenía datos de casi todos los adultos surcoreanos: su dominio en el comercio electrónico había convertido a la empresa en un punto único de fallo para la seguridad de los datos personales a escala nacional. La brecha también generó fricciones diplomáticas cuando funcionarios estadounidenses advirtieron contra lo que consideraban un trato punitivo hacia una empresa surcoreana cotizada en Estados Unidos.
La clave no revocada de Coupang permitió a un ex empleado acceder a 33,7 millones de cuentas, lo que acarreó la mayor multa de Corea, de 409 millones de dólares, y 1.180 millones de dólares en compensaciones.
Un ex empleado conservó o recreó el acceso a una clave de datos interna después de dejar la empresa: el sistema de control de acceso no revocó las credenciales al término de la relación laboral.
Coupang tenía datos personales de 33,7 millones de personas en un país de 51 millones; su dominio hizo que una sola brecha expusiera a casi toda la población adulta.
La brecha se prolongó de junio a noviembre de 2025 antes de ser detectada, lo que reveló una vigilancia y una detección de anomalías débiles en el acceso interno a los datos de la empresa.
La magnitud de la reacción —registros policiales, citaciones parlamentarias, tensiones diplomáticas— reflejó hasta qué punto una brecha de datos en un cuasi monopolio puede alterar a un país.
Cuando una empresa tiene datos de toda una población, la gestión de credenciales es seguridad nacional. Una sola clave no revocada se propaga hasta el consejero delegado, el parlamento y más allá.
CONSULTA LAS PRUEBAS