Coupangの2025年情報漏洩：元従業員のデータキーにより3400万アカウントが流出

2025年12月、韓国最大の電子商取引企業Coupangは、元従業員が社内データキーを盗み、3370万人の顧客アカウントの個人情報にアクセスしたと公表した。これは同国の成人人口のほぼ全体に相当する。漏洩は2025年6月から続いており、発覚前に検知されていなかった。実際にデータが抽出されたアカウントは2,600件から3,000件だった。

対応は迅速かつ厳しいものだった。韓国の個人情報保護委員会はCoupangに過去最高の5,600億ウォン（約4億900万ドル）の罰金を科した。これは同国史上最大のデータ保護罰則である。政府は警察によるソウル本社の家宅捜索、特別税務調査、幹部への国会召喚を含む、政府全体での協調調査を開始した。Coupangは顧客補償基金に1兆6,900億ウォン（約11億8,000万ドル）を拠出することを約束した。

朴大俊（パク・デジュン）CEOは2025年12月に辞任した。Coupangが韓国の成人ほぼ全員のデータを保有していたため、この事件は国家的なスキャンダルとなった。電子商取引における同社の支配的地位が、国の個人データセキュリティにおける単一障害点となっていたのである。また、米国当局が米国上場の韓国企業に対する懲罰的扱いと見なしたものについて警告したことで、この漏洩は外交的な摩擦も生じさせた。

Coupangの失効されなかったキーにより元従業員が3370万アカウントにアクセスでき、韓国最大の4億900万ドルの罰金と11億8,000万ドルの補償が生じた。

元従業員が退職後も社内データキーへのアクセスを保持または再作成していた。アクセス制御システムが退職時の資格情報失効に失敗していた。

Coupangは人口5,100万人の国で3,370万人分の個人データを保有していた。その支配的地位により、単一の漏洩で成人人口のほぼ全体が露出した。

漏洩は発覚前に2025年6月から11月まで続き、同社の社内データアクセスにおける監視と異常検知の弱さを露呈した。

警察の家宅捜索、国会召喚、外交的緊張といった反発の規模は、ほぼ独占状態の企業におけるデータ漏洩が国をいかに深く混乱させ得るかを反映していた。

企業が国民全体のデータを保有する場合、資格情報の管理は国家安全保障である。失効されなかった単一のキーがCEO、国会、そしてその先へと連鎖する。