L’ampleur de la fuite
Le ministère sud-coréen des Sciences et des TIC a confirmé mardi que les données de 33,67 millions d’utilisateurs avaient été compromises lors d’une vaste fuite chez Coupang, la principale plateforme de commerce électronique du pays, cotée au Nasdaq. Ce chiffre représente environ les deux tiers de la population sud-coréenne, qui compte 51 millions d’habitants. Il s’agit de l’une des plus importantes fuites de données de consommateurs de l’histoire du pays, qui touche une part considérable de la population connectée.
Sommaire
L’enquête a révélé qu’un ancien employé avait exploité des failles d’authentification pour accéder aux noms et adresses e-mail de millions d’utilisateurs. Au-delà des données initiales des comptes, l’attaquant a consulté 148 millions de fois des pages de listes de livraison, exposant potentiellement des noms, des numéros de téléphone, des adresses physiques et même des codes d’accès anonymisés aux immeubles. Coupang permettant aux utilisateurs d’enregistrer jusqu’à 20 adresses de livraison par compte, le volume réel des données de localisation compromises pourrait largement dépasser le nombre de comptes concernés, et toucher potentiellement les proches et les relations des titulaires principaux.
Choi Woo-hyuk, qui dirige le bureau chargé de la politique de cybersécurité et des réseaux au ministère, a présenté ces conclusions lors d’un point presse gouvernemental à Séoul. Cette confirmation intervient près de trois mois après la détection de l’intrusion par Coupang, le 17 novembre 2025, et marque une nette aggravation par rapport aux premières déclarations publiques de l’entreprise. Le délai avant cette confirmation avait alimenté les spéculations selon lesquelles l’annonce avait été retardée par crainte de pressions commerciales américaines et par les accusations de responsables politiques américains selon lesquelles le gouvernement sud-coréen ferait preuve de discrimination envers les entreprises américaines. L’équipe d’enquête a catégoriquement démenti ces allégations.
L’équipe d’enquête a souligné qu’elle n’avait jamais dérogé aux principes juridiques ni traité une entreprise différemment, et qu’elle avait respecté les exigences de divulgation rapide et transparente à mesure que les résultats devenaient disponibles. Cette déclaration répond aux inquiétudes grandissantes quant à une éventuelle influence de considérations diplomatiques sur l’affaire, au détriment des exigences réglementaires.
Déroulement de l’attaque
La fuite trouve son origine au sein même de l’organisation. Les enquêteurs ont identifié l’attaquant comme un ancien employé de Coupang qui avait développé des logiciels d’authentification des utilisateurs pendant son passage dans l’entreprise. Selon l’analyse gouvernementale, il a dérobé une clé de signature du système d’authentification, effectué des tests préliminaires entre le 5 et le 20 janvier 2025, puis déployé des outils d’exploration automatisée du Web pour extraire systématiquement des données.
L’attaque s’est déroulée du 14 avril au 8 novembre 2025, permettant à son auteur d’agir sans être détecté pendant près de sept mois. À l’aide de la clé de signature volée, l’ancien employé a forgé ce que les autorités ont décrit comme un laissez-passer électronique, contournant entièrement les procédures de connexion habituelles. Cette méthode lui a permis de continuer à accéder aux services de Coupang après son départ de l’entreprise.
Lee Dong-geun, directeur de la division de réponse aux menaces numériques de l’Agence coréenne de l’Internet et de la sécurité, a révélé que les enquêteurs avaient découvert que des développeurs actuellement employés par Coupang conservaient des clés de signature sur leurs ordinateurs portables personnels, en violation des règles internes qui imposaient de les stocker dans les systèmes de gestion. Cette pratique a créé la faille à l’origine de l’incident.
L’attaquant a consulté la page de modification des informations personnelles pour récupérer 33 673 817 enregistrements contenant des noms et des adresses e-mail. Il a également accédé 148,05 millions de fois à la page des listes d’adresses de livraison et consulté sans autorisation la page des commandes environ 100 000 fois. Les enquêteurs ont confirmé que l’attaquant disposait de systèmes capables de transmettre des données à des serveurs cloud à l’étranger, sans toutefois pouvoir vérifier si ces transferts avaient effectivement eu lieu.
Le verdict des autorités
Les autorités sud-coréennes ont sévèrement évalué le niveau de sécurité de Coupang. Choi Woo-hyuk a qualifié l’incident de défaillance manifeste de la gestion, plutôt que d’attaque externe sophistiquée. L’équipe d’enquête a relevé de graves lacunes dans la gestion du système d’authentification et le contrôle des clés de signature.
Il s’agit d’une défaillance manifeste de la gestion de Coupang, et non d’une attaque sophistiquée. L’équipe a relevé des lacunes dans la gestion des systèmes d’authentification et des clés de signature.
L’enquête a mis au jour plusieurs manquements aux obligations. Coupang n’a pas signalé la fuite dans le délai obligatoire de 24 heures : l’entreprise a prévenu les autorités le 19 novembre au lieu du 18 novembre, date limite. Plus grave encore, elle aurait enfreint une injonction de conservation des données émise le 19 novembre. Malgré les instructions de préserver les preuves, Coupang n’a pas modifié ses règles d’enregistrement automatique des journaux, ce qui a entraîné la suppression des journaux d’accès au Web de juillet à novembre 2024 et de ceux de l’application du 23 mai au 2 juin 2025.
Le ministère a annoncé son intention d’infliger une amende administrative pour le signalement tardif, qui pourrait atteindre 30 millions de wons. Les autorités ont également demandé aux forces de l’ordre d’enquêter sur une possible entrave à l’enquête liée à la destruction de preuves. Coupang doit maintenant soumettre des mesures préventives au ministère d’ici à la fin du mois, leur mise en œuvre étant prévue de mars à mai. Une inspection gouvernementale suivra en juin et juillet.
La défense de Coupang face aux faits
Tout au long de l’enquête, Coupang a soutenu que, même si 33,7 millions de comptes avaient été techniquement touchés, les dommages réels étaient limités. L’entreprise a affirmé que, selon les déclarations de l’attaquant, seuls environ 3 000 enregistrements avaient été stockés sur son disque dur, puis supprimés. Cette position a suscité de vives critiques de la part des autorités de régulation et des défenseurs de la vie privée, qui y voient une tentative de minimiser les conséquences réglementaires et l’atteinte à la réputation de l’entreprise.
Choi Woo-hyuk a directement contesté cette interprétation lors de son point presse. Il a souligné qu’au regard des normes sud-coréennes de protection des données, tout accès non autorisé à des pages contenant des informations personnelles constitue une fuite, que les données aient été stockées localement ou transmises ailleurs.
Parler d’accès ne réduit pas la responsabilité. Le chiffre de 3 000 enregistrements n’est qu’une affirmation de l’entreprise et ne constitue qu’un élément de référence. Nous avons vérifié toutes les informations de manière indépendante. Nous avons examiné les serveurs de Coupang pour déterminer le volume de données consultées par des attaquants externes et celui des données divulguées.
Un représentant de Coupang a réagi aux conclusions du gouvernement en affirmant que les 148 millions d’accès à la page des listes de livraison ne reflétaient pas l’ampleur de la fuite d’informations. Selon le porte-parole, il s’agissait de tentatives de collecte de données personnelles individuelles liées aux 33,7 millions de comptes, et non de la preuve de 148 millions de compromissions distinctes. Les autorités ont toutefois rétorqué que le très grand nombre de requêtes d’accès démontrait la capacité de l’attaquant à recueillir des profils d’utilisateurs complets.
Cette divergence met en lumière une différence fondamentale entre la manière dont les entreprises et les autorités définissent les fuites de données. Coupang se concentre sur les données dont le stockage par l’attaquant est confirmé, tandis que les autorités considèrent toute consultation non autorisée d’informations personnelles comme une fuite, en particulier lorsqu’elle s’accompagne d’indices de l’existence de systèmes conçus pour transmettre des données à l’étranger.
Retombées géopolitiques et pressions juridiques américaines
La fuite est passée du statut d’incident de cybersécurité intérieur à celui d’enjeu bilatéral majeur entre la Corée du Sud et les États-Unis. Cotée aux États-Unis et bénéficiant d’importants investissements américains, Coupang a attiré l’attention de parlementaires américains, qui estiment que la réaction musclée des autorités sud-coréennes pourrait constituer un traitement discriminatoire visant une entreprise américaine.
Le PDG par intérim Harold Rogers fait face à une pression juridique croissante sur plusieurs fronts. La police sud-coréenne l’a interrogé pendant environ 12 heures au sujet d’accusations de faux témoignage concernant ses déclarations sur la fuite. Parallèlement, la commission judiciaire de la Chambre des représentants des États-Unis a convoqué Rogers par assignation à comparaître pour témoigner le 23 février 2026 au sujet de l’incident. L’enquête parlementaire cherche à déterminer si les autorités coréennes imposent des contraintes injustes aux entreprises cotées aux États-Unis.
Devant un tribunal fédéral de New York, une action collective réclame des dommages-intérêts punitifs à Coupang, l’accusant de mesures de protection des données insuffisantes et d’avoir présenté de manière trompeuse l’ampleur de la fuite. La procédure représente des investisseurs et des utilisateurs qui affirment avoir subi des pertes en raison des défaillances de sécurité et de la minimisation de l’incident par l’entreprise.
Certaines multinationales implantées à Séoul ont exprimé en privé leur inquiétude : la réponse mobilisant plusieurs agences gouvernementales, neuf organismes et des centaines de responsables, serait sans précédent par rapport au traitement réservé aux entreprises nationales. Elles citent une fuite survenue en 2025 chez SK Telecom, qui a touché 27 millions d’enregistrements sans déclencher d’enquêtes comparables, comme preuve d’un traitement différencié. Le ministère des Sciences et des TIC a toutefois fermement rejeté toute dérogation aux principes juridiques, affirmant que Coupang avait reçu le même traitement que toute entreprise confrontée à des manquements similaires.
Le président Lee Jae-myung s’est publiquement engagé à faire de la Corée du Sud la meilleure destination d’investissement au monde, créant une tension entre la nécessité de faire appliquer rigoureusement la protection des données et celle de préserver des conditions favorables aux capitaux étrangers. L’affaire Coupang constitue désormais un cas test pour la manière dont Séoul concilie protection de la vie privée des consommateurs et relations commerciales internationales.
Conséquences réglementaires et risques pour l’entreprise
Au-delà des amendes immédiates pour signalement tardif, Coupang s’expose à de graves sanctions réglementaires. La Commission du commerce équitable a averti qu’une suspension des activités était possible, une mesure drastique qui interromprait entièrement les opérations de l’entreprise. Elle mène également un contrôle fiscal et a reçu une plainte parlementaire visant le fondateur Bom Kim et d’anciens dirigeants.
La fuite a aussi donné lieu à une divulgation distincte, le 5 février 2026, faisant état de 165 000 enregistrements d’utilisateurs supplémentaires compromis. Cette nouvelle annonce a exacerbé l’indignation du public et renforcé l’impression que les premières évaluations de l’entreprise avaient minimisé l’ampleur des dommages.
Selon les analystes du secteur, l’affaire établit de nouvelles normes de conformité pour les plateformes grand public sud-coréennes. La reconstitution détaillée de l’attaque par le gouvernement, avec le décompte précis des accès et l’analyse de la chronologie, témoigne de sa volonté de définir des exigences de contrôle applicables à d’autres entreprises traitant d’importants volumes de données personnelles.
Pour les utilisateurs de Coupang, les données compromises créent des risques concrets pour leur sécurité. Les adresses de livraison, les numéros de téléphone et les codes d’accès aux immeubles exposent les clients au risque de harcèlement, de fraude ciblée et d’atteinte à leur sécurité physique. Contrairement aux fuites de données de cartes de paiement, que les établissements financiers peuvent limiter par leur blocage et une surveillance, les adresses et coordonnées restent sensibles de façon permanente. La présence d’adresses de tiers, comme celles de membres de la famille ou d’amis enregistrées dans les comptes des utilisateurs, étend le nombre de personnes touchées au-delà des seuls clients de Coupang.
L’essentiel
- La fuite de données concernant 33,67 millions de comptes Coupang a été confirmée, touchant environ les deux tiers de la population sud-coréenne
- Un ancien employé a dérobé des clés de signature d’authentification et a procédé à des accès non autorisés entre avril et novembre 2025
- L’attaquant a consulté 148 millions de fois des pages de listes de livraison, exposant potentiellement des adresses, des numéros de téléphone et des codes d’accès aux immeubles
- Le ministère des Sciences et des TIC a qualifié l’incident de défaillance manifeste de la gestion et reproché à Coupang son signalement tardif et la destruction de preuves
- Le PDG par intérim Harold Rogers a été interrogé par la police en Corée et doit comparaître devant le Congrès américain le 23 février 2026, sur convocation
- Une action collective aux États-Unis réclame des dommages-intérêts punitifs devant un tribunal fédéral de New York
- La Commission du commerce équitable a averti qu’une suspension des activités était possible et mène un contrôle fiscal
- 165 000 enregistrements supplémentaires ont été signalés le 5 février 2026, dans le cadre d’un incident distinct de la fuite principale
- Coupang doit soumettre des mesures préventives d’ici à la fin du mois, et une inspection gouvernementale est prévue en juin et juillet
