🔥 Coupang оштрафована на 409 млн за утечку данных 37 млн пользователей Корейский регулятор PIPC влепил e-commerce гиганту беспрецедентный штраф — 624,6 млрд вон — за утечку персональных данных клиентов. Масштаб сопоставим со всей клиентской базой сервиса. Причина формально звучит как «небрежность в управлении ключами аутентификации и контроле доступа», но за этими формулировками стоит классический сценарий: сотрудник IT-отдела сохранял легитимный доступ к данным спустя годы после увольнения. Инцидент произошёл в конце июня, а обнаружили его только в середине ноября — пятимесячное окно, за которое злоумышленник успел замести следы, утопив MacBook Air в реке. Цифры делают этот кейс эталонным для любого отчёта по соответствию требованиям: 37,55 млн пострадавших пользователей, рекордный штраф, параллельное расследование в отношении дочерней структуры Coupang Fulfillment Service за незаконный сбор чувствительных данных. Подозреваемый — 43-летний гражданин Китая, работавший в компании с 2022 по 2024 год. Coupang заявляет, что реально похищены данные лишь 3000 аккаунтов, но PIPC оперирует цифрой всех, к кому был осуществлён доступ. И это принципиальный момент: с точки зрения регулятора важен сам факт раскрытия, а не подтверждённый объём утечки. Компания уже запустила программу компенсаций на $1,17 млрд — по 50 000 вон ваучерами каждому пострадавшему. Параллельно SK Telecom, крупнейший мобильный оператор страны, в апреле предупредил об утечке данных USIM 27 млн абонентов из-за вредоноса, сидевшего в сети с июня 2022 года. Два южнокорейских кейса за полгода вскрывают общую проблему: контроль привилегированных пользователей и процедуры завершения доступа до сих пор строятся на доверии, а не на технических барьерах. Когда PIPC штрафует за «вмешательство в независимость ответственного за защиту данных» — это сигнал, что регулятор будет копать не только технический стек, но и оргструктуру. Кто в вашей компании имеет доступ к production-данным спустя месяц после увольнения — вы уверены, что никто? Bleeping Computer #Coupang #DataBreach #InsiderThreat #PIPC