ขอบเขตของการรั่วไหล
กระทรวงวิทยาศาสตร์และไอซีทีของเกาหลีใต้ยืนยันเมื่อวันอังคารว่า ข้อมูลผู้ใช้ 33.67 ล้านรายการถูกเข้าถึงโดยมิชอบจากเหตุข้อมูลรั่วไหลครั้งใหญ่ที่ Coupang แพลตฟอร์มอีคอมเมิร์ซรายใหญ่ที่สุดของประเทศและบริษัทจดทะเบียนในตลาด Nasdaq ตัวเลขดังกล่าวคิดเป็นราวสองในสามของประชากรเกาหลีใต้ 51 ล้านคน ทำให้เหตุการณ์นี้เป็นหนึ่งในการรั่วไหลของข้อมูลผู้บริโภคครั้งใหญ่ที่สุดในประวัติศาสตร์ของประเทศ และส่งผลกระทบต่อประชากรส่วนสำคัญที่ใช้งานโลกดิจิทัล
สารบัญ
ผลการสอบสวนพบว่าอดีตพนักงานรายหนึ่งอาศัยช่องโหว่ในระบบยืนยันตัวตนเพื่อเข้าถึงชื่อและอีเมลของผู้ใช้หลายล้านคน นอกเหนือจากข้อมูลบัญชีเบื้องต้น ผู้โจมตียังเข้าถึงหน้ารายการจัดส่งถึง 148 ล้านครั้ง ซึ่งอาจทำให้ชื่อ หมายเลขโทรศัพท์ ที่อยู่จริง และแม้แต่รหัสผ่านเข้าทางเข้าอพาร์ตเมนต์ที่ผ่านการปกปิดตัวตนรั่วไหล เนื่องจาก Coupang อนุญาตให้ผู้ใช้บันทึกที่อยู่จัดส่งได้สูงสุด 20 แห่งต่อบัญชี ปริมาณข้อมูลตำแหน่งที่ถูกเข้าถึงจริงจึงอาจสูงกว่าจำนวนบัญชีพื้นฐานมาก และอาจกระทบถึงสมาชิกครอบครัวและคนรู้จักของเจ้าของบัญชีหลักด้วย
ชเว อูฮยอก ซึ่งเป็นหัวหน้าสำนักงานนโยบายความมั่นคงปลอดภัยไซเบอร์และเครือข่ายของกระทรวง เปิดเผยผลการสอบสวนในการแถลงข่าวของรัฐบาลที่กรุงโซล การยืนยันครั้งนี้มีขึ้นเกือบสามเดือนหลัง Coupang ตรวจพบการบุกรุกครั้งแรกเมื่อวันที่ 17 พฤศจิกายน 2025 และถือเป็นการยกระดับจากแถลงการณ์เบื้องต้นของบริษัทอย่างมีนัยสำคัญ ความล่าช้าในการยืนยันต่อสาธารณะจุดกระแสคาดการณ์ว่าอาจมีการเลื่อนประกาศ เนื่องจากกังวลเรื่องแรงกดดันทางการค้าจากสหรัฐฯ และข้อกล่าวหาของนักการเมืองอเมริกันที่ว่ารัฐบาลเกาหลีใต้เลือกปฏิบัติต่อบริษัทสหรัฐฯ ซึ่งทีมสอบสวนปฏิเสธอย่างชัดเจน
ทีมสอบสวนย้ำว่าไม่เคยละทิ้งหลักกฎหมายหรือปฏิบัติต่อบริษัทใดแตกต่างจากบริษัทอื่น และยึดมาตรฐานการเปิดเผยข้อมูลอย่างรวดเร็วและโปร่งใสเมื่อมีผลการสอบสวน ความชัดเจนดังกล่าวมีขึ้นเพื่อตอบข้อกังวลที่เพิ่มขึ้นว่าเรื่องนี้อาจได้รับอิทธิพลจากการพิจารณาทางการทูตแทนที่จะเป็นข้อกำหนดด้านกฎระเบียบ
ลำดับเหตุการณ์การโจมตี
การรั่วไหลเริ่มต้นจากภายในองค์กร ผู้สอบสวนระบุตัวผู้โจมตีว่าเป็นอดีตพนักงาน Coupang ซึ่งเคยพัฒนาซอฟต์แวร์ยืนยันตัวตนผู้ใช้ระหว่างทำงานที่บริษัท จากการวิเคราะห์ของรัฐบาล บุคคลดังกล่าวขโมยกุญแจลงนามดิจิทัลจากระบบยืนยันตัวตน ทดสอบการโจมตีเบื้องต้นระหว่างวันที่ 5 ถึง 20 มกราคม 2025 จากนั้นจึงนำเครื่องมือรวบรวมข้อมูลจากเว็บไซต์มาใช้ดึงข้อมูลอย่างเป็นระบบ
ช่วงเวลาที่เกิดการโจมตีเริ่มตั้งแต่วันที่ 14 เมษายนถึง 8 พฤศจิกายน 2025 ทำให้ผู้กระทำการดำเนินงานโดยไม่ถูกตรวจพบเกือบเจ็ดเดือน อดีตพนักงานใช้กุญแจลงนามดิจิทัลที่ขโมยมาสร้างสิ่งที่เจ้าหน้าที่เรียกว่า “บัตรผ่านเข้าระบบอิเล็กทรอนิกส์” เพื่อข้ามขั้นตอนเข้าสู่ระบบมาตรฐานทั้งหมด วิธีนี้ทำให้ยังเข้าถึงบริการของ Coupang ได้ต่อเนื่องแม้ลาออกจากบริษัทไปแล้ว
อี ดงกึน หัวหน้าฝ่ายรับมือภัยคุกคามดิจิทัลของสำนักงานความมั่นคงทางอินเทอร์เน็ตและสารสนเทศเกาหลี เปิดเผยว่า ผู้สอบสวนพบว่านักพัฒนา Coupang ในปัจจุบันจัดเก็บกุญแจลงนามดิจิทัลไว้ในแล็ปท็อปส่วนตัว ซึ่งขัดกับกฎภายในที่กำหนดให้เก็บข้อมูลรับรองดังกล่าวไว้ในระบบบริหารจัดการเท่านั้น แนวปฏิบัตินี้ก่อให้เกิดช่องโหว่ที่ทำให้เกิดการรั่วไหล
ผู้โจมตีเข้าถึงหน้าแก้ไขข้อมูลส่วนตัวเพื่อดึงข้อมูล 33,673,817 รายการ ซึ่งประกอบด้วยชื่อและอีเมล นอกจากนี้ยังเข้าถึงหน้ารายการที่อยู่จัดส่ง 148.05 ล้านครั้ง และมีการเปิดดูหน้ารายการสั่งซื้อโดยไม่ได้รับอนุญาตประมาณ 100,000 ครั้ง ผู้สอบสวนยืนยันว่าผู้โจมตีมีระบบที่สามารถส่งข้อมูลไปยังเซิร์ฟเวอร์คลาวด์ในต่างประเทศได้ แต่ไม่สามารถตรวจสอบยืนยันว่ามีการส่งข้อมูลดังกล่าวจริงหรือไม่
ข้อสรุปของรัฐบาล
ทางการเกาหลีใต้ประเมินมาตรการรักษาความปลอดภัยของ Coupang อย่างรุนแรง ชเว อูฮยอกระบุว่าเหตุการณ์นี้เป็นความล้มเหลวด้านการบริหารจัดการอย่างชัดเจน ไม่ใช่การโจมตีจากภายนอกที่ซับซ้อน ทีมสอบสวนพบข้อบกพร่องสำคัญในการจัดการระบบยืนยันตัวตนและการควบคุมกุญแจลงนามดิจิทัล
นี่คือความล้มเหลวด้านการบริหารจัดการของ Coupang อย่างชัดเจน ไม่ใช่การโจมตีที่ซับซ้อน ทีมสอบสวนพบข้อบกพร่องในการจัดการระบบยืนยันตัวตนและกุญแจลงนามดิจิทัล
การสอบสวนพบการละเมิดข้อกำหนดหลายประการ Coupang ไม่รายงานเหตุภายในกรอบเวลาบังคับ 24 ชั่วโมง โดยแจ้งเจ้าหน้าที่เมื่อวันที่ 19 พฤศจิกายน แทนที่จะเป็นวันที่ 18 พฤศจิกายนตามกำหนด ที่ร้ายแรงกว่านั้นคือ บริษัทถูกกล่าวหาว่าฝ่าฝืนคำสั่งให้เก็บรักษาข้อมูลหลักฐานซึ่งออกเมื่อวันที่ 19 พฤศจิกายน แม้ได้รับคำสั่งให้คงหลักฐานไว้ แต่ Coupang ไม่ได้ปรับนโยบายบันทึกล็อกโดยอัตโนมัติ ส่งผลให้บันทึกการเข้าถึงเว็บไซต์ตั้งแต่เดือนกรกฎาคมถึงพฤศจิกายน 2024 และบันทึกการเข้าถึงแอปตั้งแต่วันที่ 23 พฤษภาคมถึง 2 มิถุนายน 2025 ถูกลบ
กระทรวงประกาศแผนเรียกเก็บค่าปรับทางปกครองกรณีรายงานล่าช้า ซึ่งอาจสูงถึง 30 ล้านวอน นอกจากนี้ เจ้าหน้าที่ยังขอให้หน่วยงานบังคับใช้กฎหมายสอบสวนความเป็นไปได้ของการขัดขวางกระบวนการที่เกี่ยวข้องกับการทำลายหลักฐาน ขณะนี้ Coupang ต้องยื่นมาตรการป้องกันต่อกระทรวงภายในสิ้นเดือนนี้ โดยมีกำหนดดำเนินการระหว่างเดือนมีนาคมถึงพฤษภาคม ก่อนการตรวจสอบของรัฐบาลในเดือนมิถุนายนและกรกฎาคม
คำชี้แจงของ Coupang กับข้อเท็จจริง
ตลอดการสอบสวน Coupang ยืนยันว่าแม้ในทางเทคนิคจะได้รับผลกระทบ 33.7 ล้านบัญชี แต่ความเสียหายจริงมีจำกัด บริษัทอ้างว่า จากคำให้การของผู้โจมตี มีข้อมูลเพียงประมาณ 3,000 รายการที่ถูกจัดเก็บไว้ในฮาร์ดไดรฟ์ของผู้กระทำการและถูกลบไปในภายหลัง จุดยืนนี้ถูกวิจารณ์อย่างหนักจากหน่วยงานกำกับดูแลและผู้สนับสนุนสิทธิความเป็นส่วนตัว ซึ่งมองว่าเป็นความพยายามลดความเสียหายด้านกฎระเบียบและชื่อเสียง
ชเว อูฮยอกโต้แย้งคำอธิบายดังกล่าวโดยตรงระหว่างการแถลงข่าว เขาย้ำว่าตามมาตรฐานคุ้มครองข้อมูลของเกาหลีใต้ การเข้าถึงหน้าข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตถือเป็นเหตุข้อมูลรั่วไหล ไม่ว่าข้อมูลนั้นจะถูกจัดเก็บไว้ในเครื่องหรือส่งต่อไปที่อื่นหรือไม่
การเรียกว่าเป็นการเข้าถึงไม่ได้หมายความว่าจะมีความรับผิดน้อยลง ตัวเลข 3,000 รายการเป็นเพียงคำกล่าวอ้างของบริษัทและใช้เป็นข้อมูลประกอบเท่านั้น เราตรวจสอบเอกสารทั้งหมดด้วยตนเอง โดยตรวจสอบเซิร์ฟเวอร์ของ Coupang เพื่อหาว่าผู้โจมตีจากภายนอกเข้าถึงข้อมูลไปเท่าใด และมีข้อมูลรั่วไหลไปเท่าใด
ตัวแทน Coupang ตอบข้อค้นพบของรัฐบาลโดยยืนยันว่า การเข้าถึงหน้ารายการจัดส่ง 148 ล้านครั้งไม่ได้บ่งชี้ถึงขนาดของการรั่วไหลของข้อมูล โฆษกอธิบายว่าเป็นความพยายามรวบรวมข้อมูลส่วนบุคคลของแต่ละคนที่เชื่อมโยงกับบัญชี 33.7 ล้านบัญชี ไม่ใช่หลักฐานว่ามีข้อมูลรั่วไหลแยกกัน 148 ล้านครั้ง อย่างไรก็ตาม เจ้าหน้าที่รัฐบาลโต้ว่า จำนวนคำขอเข้าถึงที่สูงมากแสดงให้เห็นว่าผู้โจมตีมีความสามารถในการรวบรวมข้อมูลผู้ใช้ได้อย่างครอบคลุม
ความแตกต่างนี้สะท้อนให้เห็นนิยามการรั่วไหลของข้อมูลที่ไม่ตรงกันระหว่างบริษัทกับหน่วยงานกำกับดูแล โดย Coupang มุ่งเน้นว่ามีการยืนยันการจัดเก็บข้อมูลโดยผู้โจมตีหรือไม่ ขณะที่ทางการถือว่าการเปิดดูข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตเป็นเหตุข้อมูลรั่วไหล โดยเฉพาะเมื่อมีหลักฐานประกอบว่าระบบสามารถส่งข้อมูลไปต่างประเทศได้
ผลกระทบทางภูมิรัฐศาสตร์และแรงกดดันทางกฎหมายจากสหรัฐฯ
เหตุข้อมูลรั่วไหลได้ขยายจากเหตุการณ์ความมั่นคงปลอดภัยไซเบอร์ภายในประเทศ กลายเป็นประเด็นทวิภาคีสำคัญระหว่างเกาหลีใต้กับสหรัฐฯ ในฐานะบริษัทจดทะเบียนในสหรัฐฯ และมีนักลงทุนอเมริกันสนับสนุนจำนวนมาก Coupang จึงได้รับความสนใจจากสมาชิกสภาคองเกรสสหรัฐฯ ซึ่งมองว่าการตอบสนองอย่างเข้มงวดของหน่วยงานกำกับดูแลเกาหลีใต้อาจเป็นการมุ่งเป้าเลือกปฏิบัติต่อบริษัทอเมริกัน
ฮาโรลด์ โรเจอร์ส ประธานเจ้าหน้าที่บริหารชั่วคราว เผชิญแรงกดดันทางกฎหมายที่เพิ่มขึ้นหลายด้าน ตำรวจเกาหลีใต้สอบปากคำโรเจอร์สราว 12 ชั่วโมงเกี่ยวกับข้อกล่าวหาให้การเท็จที่เกี่ยวข้องกับคำให้การเรื่องการรั่วไหล ขณะเดียวกัน คณะกรรมาธิการตุลาการสภาผู้แทนราษฎรสหรัฐฯ ออกหมายเรียกโรเจอร์สให้เข้าให้การในวันที่ 23 กุมภาพันธ์ 2026 เกี่ยวกับเหตุการณ์นี้ การไต่สวนของรัฐสภามุ่งตรวจสอบว่าหน่วยงานกำกับดูแลเกาหลีสร้างภาระที่ไม่เป็นธรรมให้บริษัทที่จดทะเบียนในสหรัฐฯ หรือไม่
ในศาลรัฐบาลกลางนิวยอร์ก มีการยื่นฟ้องแบบกลุ่มเพื่อเรียกค่าเสียหายเชิงลงโทษจาก Coupang โดยกล่าวหาว่าบริษัทคุ้มครองข้อมูลไม่เพียงพอและเปิดเผยข้อมูลเกี่ยวกับขอบเขตการรั่วไหลอย่างชวนให้เข้าใจผิด คดีนี้เป็นตัวแทนของนักลงทุนและผู้ใช้ที่อ้างว่าได้รับความเสียหายจากความล้มเหลวด้านความปลอดภัยและการที่บริษัทลดทอนความร้ายแรงของเหตุการณ์ในเวลาต่อมา
บริษัทข้ามชาติบางแห่งที่ดำเนินงานในกรุงโซลเตือนเป็นการส่วนตัวว่า การรับมือที่ครอบคลุมหน่วยงานรัฐบาลหลายแห่ง โดยมีหน่วยงาน 9 แห่งและเจ้าหน้าที่หลายร้อยคนเข้าร่วม ถือเป็นเรื่องที่ไม่เคยเกิดขึ้นมาก่อนเมื่อเทียบกับการปฏิบัติต่อบริษัทในประเทศ โดยยกเหตุข้อมูลรั่วไหลที่ SK Telecom ในปี 2025 ซึ่งกระทบข้อมูล 27 ล้านรายการและไม่ก่อให้เกิดการสอบสวนในระดับเดียวกัน มาเป็นหลักฐานของการปฏิบัติที่แตกต่าง อย่างไรก็ตาม กระทรวงวิทยาศาสตร์และไอซีทียืนยันหนักแน่นว่าไม่มีการละเมิดหลักกฎหมาย และยืนยันว่า Coupang ได้รับการปฏิบัติเช่นเดียวกับบริษัทอื่นที่ทำผิดในลักษณะเดียวกัน
ประธานาธิบดีอี แจมยอง ให้คำมั่นต่อสาธารณะว่าจะทำให้เกาหลีใต้เป็นจุดหมายปลายทางด้านการลงทุนที่ดีที่สุดในโลก ส่งผลให้เกิดความตึงเครียดระหว่างการแสดงให้เห็นถึงการบังคับใช้กฎหมายคุ้มครองข้อมูลอย่างเข้มแข็ง กับการรักษาสภาพแวดล้อมที่เอื้อต่อเงินทุนจากต่างประเทศ ขณะนี้คดี Coupang กลายเป็นกรณีทดสอบว่าโซลจะสร้างสมดุลระหว่างการคุ้มครองความเป็นส่วนตัวของผู้บริโภคกับความสัมพันธ์ทางการค้าระหว่างประเทศได้อย่างไร
ผลทางกฎระเบียบและความเสี่ยงทางธุรกิจ
นอกเหนือจากค่าปรับกรณีรายงานล่าช้าแล้ว Coupang ยังเผชิญความเสี่ยงด้านกฎระเบียบอย่างร้ายแรง คณะกรรมาธิการการค้าที่เป็นธรรมเตือนว่าอาจสั่งระงับการดำเนินธุรกิจ ซึ่งเป็นมาตรการรุนแรงที่จะทำให้บริษัทหยุดดำเนินงานทั้งหมด คณะกรรมาธิการยังตรวจสอบภาษี และได้รับคำร้องจากรัฐสภาที่กล่าวหา บอม คิม ผู้ก่อตั้งบริษัท และอดีตผู้บริหาร
เหตุข้อมูลรั่วไหลยังนำไปสู่การเปิดเผยข้อมูลอีกกรณีเมื่อวันที่ 5 กุมภาพันธ์ 2026 โดยพบข้อมูลผู้ใช้รั่วไหลเพิ่มเติม 165,000 รายการ การประกาศครั้งที่สองนี้ยิ่งเพิ่มความไม่พอใจของสาธารณชน และตอกย้ำมุมมองที่ว่าการประเมินความเสียหายเบื้องต้นของบริษัทระบุความรุนแรงต่ำกว่าความเป็นจริง
นักวิเคราะห์อุตสาหกรรมระบุว่าคดีนี้สร้างมาตรฐานการปฏิบัติตามข้อกำหนดใหม่สำหรับแพลตฟอร์มผู้บริโภคของเกาหลีใต้ การที่รัฐบาลเปิดเผยรายละเอียดการจำลองลำดับการโจมตี รวมถึงจำนวนการเข้าถึงที่เฉพาะเจาะจงและการวิเคราะห์กรอบเวลา แสดงให้เห็นถึงความตั้งใจที่จะกำหนดข้อบังคับด้านการควบคุมที่ชัดเจน ซึ่งจะใช้กับบริษัทอื่นที่ประมวลผลข้อมูลส่วนบุคคลปริมาณมากด้วย
สำหรับผู้ใช้ Coupang ข้อมูลที่รั่วไหลก่อให้เกิดความเสี่ยงต่อความปลอดภัยที่จับต้องได้ ที่อยู่จัดส่ง หมายเลขโทรศัพท์ และรหัสผ่านทางเข้าอาคารอาจเปิดช่องให้เกิดการสะกดรอย การฉ้อโกงแบบเจาะจงเป้าหมาย และภัยต่อความปลอดภัยทางกายภาพ ต่างจากกรณีข้อมูลบัตรชำระเงินรั่วไหลที่สถาบันการเงินสามารถลดความเสี่ยงได้ด้วยการยกเลิกบัตรและติดตามความเคลื่อนไหว ข้อมูลที่อยู่และช่องทางติดต่อยังคงมีความอ่อนไหวอย่างถาวร การรวมที่อยู่ของบุคคลที่สาม เช่น สมาชิกครอบครัวหรือเพื่อนที่บันทึกไว้ในบัญชีผู้ใช้ ยังทำให้จำนวนผู้ได้รับผลกระทบขยายออกไปมากกว่าลูกค้า Coupang โดยตรง
ประเด็นสำคัญ
- ยืนยันข้อมูลบัญชีผู้ใช้ Coupang รั่วไหล 33.67 ล้านบัญชี ส่งผลกระทบต่อประชากรเกาหลีใต้ประมาณสองในสาม
- อดีตพนักงานขโมยกุญแจลงนามดิจิทัลสำหรับยืนยันตัวตนและเข้าถึงระบบโดยไม่ได้รับอนุญาตระหว่างเดือนเมษายนถึงพฤศจิกายน 2025
- ผู้โจมตีเข้าถึงหน้ารายการจัดส่ง 148 ล้านครั้ง ซึ่งอาจทำให้ที่อยู่ หมายเลขโทรศัพท์ และรหัสทางเข้าอาคารรั่วไหล
- กระทรวงวิทยาศาสตร์และไอซีทีระบุว่าเหตุการณ์นี้เป็นความล้มเหลวด้านการบริหารจัดการอย่างชัดเจน และกล่าวหา Coupang ว่ารายงานล่าช้าและทำลายหลักฐาน
- ฮาโรลด์ โรเจอร์ส ประธานเจ้าหน้าที่บริหารชั่วคราว ถูกตำรวจในเกาหลีสอบปากคำ และถูกสภาคองเกรสสหรัฐฯ ออกหมายเรียกให้เข้าให้การในวันที่ 23 กุมภาพันธ์ 2026
- มีการยื่นฟ้องแบบกลุ่มในศาลรัฐบาลกลางนิวยอร์กเพื่อเรียกค่าเสียหายเชิงลงโทษ
- คณะกรรมาธิการการค้าที่เป็นธรรมเตือนว่าอาจสั่งระงับการดำเนินธุรกิจ และกำลังตรวจสอบภาษี
- มีการเปิดเผยข้อมูลเพิ่มเติมอีก 165,000 รายการเมื่อวันที่ 5 กุมภาพันธ์ 2026 แยกจากเหตุข้อมูลรั่วไหลหลัก
- Coupang ต้องยื่นมาตรการป้องกันภายในสิ้นเดือน โดยรัฐบาลมีกำหนดเข้าตรวจสอบในเดือนมิถุนายนและกรกฎาคม
