Em dezembro de 2025, a Coupang, maior empresa de comércio eletrônico da Coreia do Sul, divulgou que um ex-funcionário havia roubado uma chave de dados interna e acessado as informações pessoais de 33,7 milhões de contas de clientes — quase toda a população adulta do país. A violação vinha ocorrendo desde junho de 2025 antes de ser detectada, e entre 2.600 e 3.000 contas tiveram seus dados efetivamente extraídos.
A resposta foi rápida e severa. A Comissão de Proteção de Informações Pessoais da Coreia multou a Coupang em um recorde de 560 bilhões de won (cerca de US$ 409 milhões), a maior penalidade de proteção de dados da história do país. O governo lançou uma investigação coordenada de todo o governo, incluindo buscas policiais na sede da empresa em Seul, uma auditoria fiscal especial e convocações parlamentares para executivos. A Coupang comprometeu 1,69 trilhão de won (cerca de US$ 1,18 bilhão) para um fundo de compensação aos clientes.
O CEO Park Dae-jun renunciou em dezembro de 2025. O caso tornou-se um escândalo nacional porque a Coupang detinha dados de quase todos os adultos coreanos — seu domínio no comércio eletrônico havia transformado a empresa em um ponto único de falha para a segurança de dados pessoais nacional. A violação também criou atrito diplomático quando autoridades dos EUA alertaram contra o que consideraram tratamento punitivo de uma empresa coreana listada nos Estados Unidos.
A chave não revogada da Coupang permitiu que um ex-funcionário acessasse 33,7 milhões de contas, gerando a maior multa da Coreia, de US$ 409 milhões, e US$ 1,18 bilhão em compensação.
Um ex-funcionário manteve ou recriou o acesso a uma chave de dados interna após deixar a empresa — o sistema de controle de acesso falhou em revogar as credenciais no momento do desligamento.
A Coupang detinha dados pessoais de 33,7 milhões de pessoas em um país de 51 milhões; seu domínio significava que uma única violação expunha quase toda a população adulta.
A violação durou de junho a novembro de 2025 antes da detecção, revelando monitoramento e detecção de anomalias fracos no acesso interno aos dados da empresa.
A dimensão da reação — buscas policiais, convocações parlamentares, tensões diplomáticas — refletiu o quão profundamente uma violação de dados em um quase monopólio pode perturbar um país.
A lição
Quando uma empresa detém dados de uma população inteira, a gestão de credenciais é segurança nacional. Uma única chave não revogada se propaga ao CEO, ao parlamento e além.
CONFIRA AS EVIDÊNCIAS