La fuite de données chez Coupang, en Corée du Sud, expose 33,7 millions de comptes clients

Ce qui s’est passé et pourquoi c’est important

Coupang, la plus grande plateforme de commerce en ligne de Corée du Sud, a révélé une vaste fuite de données ayant exposé des informations personnelles liées à 33,7 millions de comptes clients. Selon les enquêteurs, l’accès non autorisé aurait débuté en juin via des serveurs situés à l’étranger et serait passé inaperçu pendant plusieurs mois. L’ampleur de la fuite concerne plus de la moitié de la population du pays et expose les acheteurs du quotidien, les familles et les petites entreprises à d’éventuelles tentatives de fraude, fréquentes après la divulgation massive de données personnelles.

L’entreprise indique que les informations exposées comprennent des noms, des numéros de téléphone portable, des adresses e-mail, des adresses de livraison et des détails sur certaines commandes passées. Selon elle, les données de cartes de paiement, les coordonnées bancaires et les identifiants de connexion n’ont pas été consultés. Même en l’absence d’informations financières, l’association des coordonnées et de l’historique des commandes peut alimenter des arnaques convaincantes, dans lesquelles les fraudeurs se font passer pour le service client ou imitent des notifications de livraison. Les clients sont invités à se méfier des appels, SMS ou e-mails leur demandant des codes, des mots de passe ou des informations de paiement.

Coupang a présenté ses excuses et signalé l’incident aux autorités peu après avoir détecté, à la mi-novembre, des accès inhabituels concernant un petit nombre de comptes. Le chiffre initial, d’environ 4 500 comptes compromis, a rapidement augmenté à mesure que les enquêteurs élargissaient le périmètre de leurs investigations. La police examine la possibilité qu’un ancien employé, désormais à l’étranger, ait joué un rôle dans l’affaire. Les autorités de régulation vérifient si Coupang a enfreint les règles de protection des données et ont indiqué que des sanctions seraient prises si des manquements étaient confirmés.

Déroulement de la fuite

Selon l’entreprise et les responsables gouvernementaux, la fuite concernait des données personnelles liées aux livraisons et semble résulter d’accès effectués depuis des serveurs à l’étranger depuis la fin du mois de juin. Coupang a repéré une activité inhabituelle le 18 novembre, puis a averti les autorités dans les deux jours. Après avoir bloqué la voie d’accès présumée et renforcé la surveillance interne, l’entreprise a lancé une enquête conjointe avec des experts en sécurité et les forces de l’ordre. À mesure que l’analyse forensique avançait, le nombre de comptes concernés a grimpé à plusieurs dizaines de millions.

Selon les autorités, une faille dans la vérification de certains serveurs aurait pu être exploitée, permettant à une personne extérieure d’extraire des données à plusieurs reprises sans déclencher immédiatement d’alerte. Cette hypothèse, ainsi que les indices suggérant une connaissance interne des systèmes, est désormais au cœur de l’enquête. Le gouvernement a convoqué une réunion d’urgence et mis en place une équipe réunissant acteurs publics et privés afin de coordonner l’analyse technique, l’aide aux victimes et les mesures réglementaires.

Données exposées et risques

Les données concernées comprendraient des informations personnelles courantes que les clients communiquent pour recevoir leurs livraisons : nom, numéro de téléphone portable, adresse e-mail, adresse de livraison et une partie de leur historique de commandes. Les numéros de cartes de paiement, les coordonnées bancaires et les mots de passe n’étaient pas inclus. Cette distinction est importante pour évaluer le risque financier immédiat, mais les informations exposées permettent tout de même des manipulations psychologiques. Des fraudeurs peuvent se faire passer pour un commerçant, un prestataire logistique ou même une banque, puis pousser leurs victimes à communiquer des codes à usage unique ou à installer un logiciel malveillant.

L’hameçonnage par SMS, souvent appelé « smishing », est une menace fréquente après les fuites de données de grande ampleur. Les attaquants utilisent de fausses mises à jour de livraison ou alertes de compte, mais très réalistes, pour rediriger les victimes vers de fausses pages de connexion ou récupérer des codes à usage unique afin de prendre le contrôle de comptes. Les détails des commandes rendent ces pièges plus crédibles. Les clients doivent se méfier des messages et appels inattendus, surtout s’ils réclament un paiement, des codes ou un accès à distance à un appareil.

Coupang affirme qu’aucun mot de passe n’a été dérobé, mais les criminels tentent souvent de réinitialiser les mots de passe à l’aide de coordonnées divulguées. Méfiez-vous des demandes de réinitialisation de mot de passe ou de vérification que vous n’avez pas sollicitées, et ne confirmez les modifications que dans l’application ou sur le site officiel, jamais via un lien reçu par message. Activez l’authentification à deux facteurs lorsqu’elle est disponible. Vérifiez vos commandes récentes et vos adresses de livraison enregistrées afin de repérer toute modification que vous n’auriez pas effectuée.

Qui pourrait être à l’origine de la fuite ?

La police a identifié un suspect, un ancien employé de nationalité étrangère, selon des responsables au fait de l’enquête. Cette personne aurait quitté le pays. Les enquêteurs cherchent à déterminer si elle a exploité une faille dans la vérification des serveurs ou conservé un accès après son départ. La connaissance des systèmes acquise en interne peut faciliter le repérage de points faibles, surtout si les journaux système et les droits d’accès ne sont pas strictement contrôlés.

Le risque interne ne se limite pas aux actes malveillants. Les erreurs, les jetons d’accès oubliés et la lenteur des procédures de départ peuvent exposer des voies d’accès aux données que des attaquants extérieurs exploitent ensuite. Des contrôles d’accès rigoureux, le renouvellement et la révocation des identifiants, une journalisation continue et la surveillance des comportements sont essentiels pour réduire ce risque. Les autorités de régulation ont souligné la gravité de la fuite et promis une réponse rapide.

Le ministère des Sciences et des TIC, qui s’est exprimé sur l’exposition des coordonnées de millions de citoyens, a fixé le cadre de l’enquête.

Il a déclaré qu’une enquête rapide serait menée et que des sanctions sévères seraient imposées si des infractions étaient constatées.

Réponse des autorités et de Coupang

Le gouvernement a lancé une enquête officielle dans les jours qui ont suivi le signalement initial et constitué une équipe d’intervention conjointe réunissant les forces de l’ordre et des organismes techniques. La Commission de protection des informations personnelles vérifie si les règles de protection des données ont été enfreintes. Coupang affirme avoir bloqué la voie d’accès, renforcé la surveillance interne et coopérer pleinement à l’enquête. L’entreprise a appelé ses clients à se méfier des tentatives d’usurpation d’identité et à privilégier les canaux de communication officiels.

L’ampleur de cette fuite dépasse celle d’incidents majeurs survenus plus tôt cette année chez un grand opérateur mobile, qui avaient touché plus de 23 millions d’utilisateurs et entraîné une amende record. Les autorités de régulation ont indiqué que les sanctions seraient sévères si les contrôles s’avéraient insuffisants. Les autorités examinent également la nécessité de renforcer les recommandations du secteur en matière de sécurité des serveurs, de gestion des départs et de vérification des accès.

Pourquoi la certification n’a pas empêché la fuite

Coupang détient la certification ISMS P, la certification nationale en matière de sécurité de l’information et de protection des données personnelles. L’entreprise l’a obtenue en 2021 et renouvelée en 2024. Elle a pourtant connu plusieurs incidents depuis 2020 et a été condamnée à des amendes pour des manquements antérieurs. La question de ce que garantit réellement cette certification fait désormais l’objet d’un débat plus large. Les audits ISMS P portent sur les politiques, les procédures et les contrôles documentés, mais la certification ne garantit pas l’absence de défaillances en temps réel, d’erreurs humaines ou d’abus commis par des personnes ayant un accès interne.

Les critiques estiment que les audits peuvent privilégier la conformité sur le papier, plutôt que des preuves tangibles de l’efficacité des contrôles en situation de tension. Les plateformes complexes reposent sur un vaste ensemble de microservices, des intégrations de tiers et de grandes équipes. Le profil de risque peut évoluer rapidement. Les cycles de certification, périodiques et fondés sur des listes de vérification, peuvent passer à côté de faiblesses concrètes qui n’apparaissent qu’en conditions réelles, comme des jetons d’accès à longue durée de validité, des lacunes dans l’authentification des serveurs ou une corrélation incomplète des journaux entre différents environnements.

La situation dans d’autres juridictions permet de mieux comprendre les liens entre sanctions et prévention. Le règlement général sur la protection des données (RGPD) de l’Union européenne impose la protection des données dès la conception et le signalement des fuites dans un délai de 72 heures. Il autorise des amendes pouvant atteindre 4 % du chiffre d’affaires mondial. Aux États-Unis, la Federal Trade Commission a infligé de lourdes sanctions à des entreprises ayant mal géré les données de leurs utilisateurs ou induit les consommateurs en erreur. Le Japon a renforcé les règles prévues par la loi sur la protection des informations personnelles après plusieurs incidents très médiatisés, en durcissant les règles d’accès interne et les audits. Le système sud-coréen est largement considéré comme strict, mais la répétition d’incidents majeurs montre que les mesures d’application, la surveillance et la prévention doivent encore suivre le rythme de l’évolution rapide des méthodes d’attaque et des risques internes.

Comparaison avec les précédentes fuites de données en Corée

La Corée du Sud a connu plusieurs fuites marquantes au cours des deux dernières décennies. En 2011, des pirates ont dérobé les données d’environ 35 millions de comptes sur un grand réseau social et portail. En 2014, des sociétés de cartes de crédit ont perdu des dizaines de millions d’enregistrements comprenant des numéros d’identification de résidents et des données de cartes. Des affaires antérieures ont touché des places de marché en ligne et des entreprises du secteur de l’énergie. Ces dernières années, des opérateurs mobiles ont également signalé des fuites. Un incident récent chez un grand opérateur télécom a affecté plus de 23 millions d’utilisateurs et donné lieu à la plus lourde sanction jamais prononcée pour violation des lois sur les données personnelles.

L’affaire Coupang se distingue par son ampleur et par le rôle présumé d’une personne ayant travaillé au sein de l’entreprise. Elle survient également après une série d’incidents moins importants, ce qui renforce les inquiétudes du public quant à la mise en œuvre effective des promesses d’amélioration de la sécurité. L’ampleur et la durée de la fuite, conjuguées à la connaissance des systèmes par une personne de l’intérieur, mettent à rude épreuve la gouvernance de l’entreprise comme le cadre national de protection des données.

Que peuvent faire les clients dès maintenant ?

Coupang affirme qu’aucun élément ne prouve que des données de paiement ou des mots de passe ont été exposés. Les fuites de grande ampleur donnent néanmoins souvent lieu à des arnaques exploitant les noms, numéros de téléphone, adresses et détails des commandes. Quelques gestes simples permettent de réduire les risques et de réagir rapidement en cas de tentative de fraude.

• Méfiez-vous des appels, SMS et e-mails non sollicités, surtout s’ils réclament un paiement, des codes à usage unique ou des informations sur votre compte.
• Ne cliquez pas sur les liens contenus dans des messages de livraison ou de compte. Ouvrez l’application officielle ou saisissez vous-même l’adresse du site.
• Activez l’authentification à deux facteurs sur vos comptes lorsqu’elle est disponible.
• Surveillez l’historique de votre compte et votre carnet d’adresses de livraison pour repérer toute modification que vous n’auriez pas effectuée.
• Utilisez un gestionnaire de mots de passe et évitez de réutiliser les mêmes mots de passe pour vos achats en ligne, vos e-mails et vos comptes bancaires.
• Méfiez-vous des demandes d’installation d’un logiciel d’assistance à distance sur votre téléphone ou votre ordinateur.
• Si vous recevez des messages suspects prétendant provenir de l’entreprise, contactez le service client via l’application ou le site officiel.

Si vous pensez que vos données sont utilisées à mauvais escient, signalez-le aux autorités et à votre opérateur mobile. Conservez des captures d’écran des messages suspects et notez les heures et les numéros de téléphone. Un signalement rapide aide les enquêteurs à repérer des tendances plus générales et à bloquer les domaines et numéros malveillants.

Conséquences pour l’entreprise et le marché

Les fuites de grande ampleur entraînent souvent des coûts qui dépassent largement le simple nettoyage technique. Les entreprises consacrent des moyens à l’analyse forensique, aux services de protection de l’identité, à la refonte de leurs systèmes et au service client, tout en faisant face à des mesures réglementaires et à des actions en justice. Les dommages à leur réputation peuvent perdurer, en particulier pour les plateformes qui dépendent des achats récurrents et d’une forte fidélité à la marque. Les appels à ce que l’entreprise rende des comptes se multiplient déjà, et les autorités chargées de la protection des données ont indiqué qu’elles envisageraient des sanctions si des manquements étaient avérés.

Coupang est cotée aux États-Unis et exerce ses activités à l’échelle nationale en Corée du Sud. Elle fait donc l’objet d’un examen attentif de la part de plusieurs autorités de régulation et investisseurs. Les prochaines déclarations et présentations devraient porter sur les changements apportés à la gestion des accès, à la révocation des identifiants, à la vérification des serveurs, à la corrélation des journaux et à la gouvernance des intégrations de tiers. Des investissements durables dans les ressources humaines, les processus et les technologies seront nécessaires pour rétablir la confiance et réduire le risque qu’une défaillance perdure des mois avant d’être détectée.

À retenir

• Des informations personnelles provenant de 33,7 millions de comptes clients Coupang ont été exposées.
• Les données divulguées comprennent des noms, des numéros de téléphone portable, des adresses e-mail, des adresses de livraison et une partie de l’historique des commandes.
• Aucune donnée de carte de paiement, coordonnée bancaire ou mot de passe de connexion ne figurait parmi les informations exposées.
• L’accès non autorisé aurait débuté en juin et serait passé inaperçu jusqu’à la mi-novembre.
• Les autorités enquêtent sur un ancien employé suspecté et ont constitué une équipe d’intervention d’urgence.
• Le ministère des Sciences et des TIC a prévenu que des sanctions sévères seraient prises si des infractions aux lois sur la protection des données étaient confirmées.
• Coupang affirme avoir bloqué la voie d’accès et renforcé la surveillance interne.
• Les clients sont invités à se méfier des appels, SMS et e-mails de personnes se faisant passer pour l’entreprise.
• L’affaire relance le débat sur l’efficacité des certifications nationales de sécurité telles que l’ISMS P.
• Cette fuite dépasse les incidents récents survenus chez d’autres grandes entreprises et figure parmi les plus importantes jamais signalées en Corée du Sud.