最近，被称为韩国亚马逊的电商龙头Coupang（酷澎）公开承认，今年6月发生严重数据泄露事件，总共导致大约3370万用户信息泄露。信息泄露包括用户姓名、邮箱、移动电话号码、地址，以及部分订单信息。Coupang是韩国市场份额最大电商平台，2024年营收超过2100亿元人民币，用户渗透率高达约85%。韩国总人口约5200万，本次事件意味着三分之二的人信息被泄露，被媒体称为韩国史上最大规模数据泄露事件。

1.   事件影响，股价暴跌，用户流失

Coupang成立于2010年，最初为团购网站，后转型综合电商。2021年纽交所上市，2024年全年营收303亿美金（约2137亿元人民币，对比京东2024年营收11588亿元人民币），2025年市值约500亿美元，员工约9.5万人。

Coupang为全品类电商，覆盖3C、家电、美妆、家居、生鲜等。主打火箭配送（Rocket Delivery）：“凌晨下单、清晨送达”（Dawn Delivery），99%订单当日/次日达，自建100+智能履约中心。另外还有Coupang Eats外卖业务、Coupang Play流媒体服务。

一直以来，Coupang凭借“次日达”服务积累了口碑，本次事件对Coupang、用户、行业都造成很大影响。

受事件影响，Coupang股价在12月1日盘后交易中一度下跌了8%。韩国区CEO宣布引咎辞职，美国、韩国等多地用户已发起集体诉讼，寻求经济赔偿。此外，或将面临韩国《信息通信网利用促进及信息保护法》罚款，最高可能达1万亿韩元（约48亿元人民币）。

根据报道，因为信息泄露，大量用户收到含个人信息的威胁邮件，引发诈骗风险担忧。公众对平台数据安全信任度骤降，在黑五促销季，Coupang 11月的月活跃用户（MAU）为3439.84万人，较前月仅小幅增长0.67%。而仅使用Coupang网购的忠诚用户数量则降至1277.01万人，较前月减少约15万人。相比较，同期其他韩国电商网站用户数量显著增长。

行业层面，韩国总统室批评企业防护形同虚设，将推动惩罚性赔偿制度加速落地，电商行业数据安全合规压力陡增。

2.   事件过程，离职员工长期窃取数据

事件时间线：

• 6月24日：泄露启动嫌疑人首次通过海外服务器，利用未被撤销的API访问令牌/认证密钥，绕过认证系统，非法访问并导出客户数据库。Coupang 安全系统未察觉异常流量，泄漏进入5个月潜伏期。
• 11月18日：Coupang安全团队首次检测到账户异常活动，初步评估仅约4500个账户受影响。
• 11月20日：首次上报，向韩国个人信息保护委员会（PIPC）提交初步报告，仍称仅约4500账户泄露。
• 11月25日：刑事报案，Coupang向首尔警方报案，警方启动刑事调查。
• 11月29日：真相披露，经深入调查确认实际泄露达3370万账户，Coupang二次上报 PIPC并向公众公开事件，承认长期数据持续被非法导出。
• 12月2日：韩国政府、警方与Coupang联合成立调查小组。
• 12月9日：强制搜查与定性，首尔警察厅网络侦查课对Coupang首尔总部强制搜查，调取资料核查安全漏洞。Coupang 将事件正式定性为“数据泄露”。
• 12月10日：高管问责，韩国CEO朴大俊引咎辞职，美国母公司首席行政官接任临时负责人。

数据泄露途径

攻击链路：海外服务器→未回收密钥绕过认证→访问客户数据库→持续导出数据→长期未被发现。 

反映出的问题：

• 权限滥用：嫌疑人离职后，其负责的认证系统相关访问令牌/密钥未被及时回收，形成长期“隐形权限”。
• 防御失效：
  • 异常检测机制缺失：5 个月内持续数据导出未触发告警；
  • 海外服务器访问监控不足：攻击流量经海外节点绕开本土安全审计。

3.   事件分析，Coupang安全团队不是草台班子

Coupang安全团队是不是草台班子？不是。

Coupang 拥有专业的安全团队，设有首席信息安全官（CISO），组建有威胁管理团队、全球安全运营中心，能够做到7×24 小时监控与应急响应，负责全球安全事件处置。正是因为有安全团队，所有数据泄露才被发现。

是不是员工离职流程问题？不完全是。

成立十几年的企业，营收规模几百亿美金的企业，员工离职流程相对肯定是完善的。但涉及技术员工离职，流程上应该对技术员工管理的系统权限进行详细梳理，并关闭相关权限。这就要求平时做好RBAC（Role-Based Access Control，基于角色的访问控制）管理，对系统和权限有详细的记录，当员工离职时才能准确地关闭相关权限。

是不是系统漏洞？不完全是。

本次事件，该员工在职期间对系统的访问是合法的，只是离职以后令牌权限未撤销，让该员工能继续访问。这暴露出安全问题，比如为什么同一令牌、同一服务器，可以反复访问一个接口。推测对接口的访问应该有一定的策略限制，比如速率和一定时间的数量限制，所有嫌疑人用了几个月来盗取数据。但是，明显安全策略还不够严格，就算是业务需要，也不应该访问所有的敏感数据。另外，对敏感数据的访问，应该配置IP白名单，不能随便通过海外的服务器就可以访问。

数据有没有加密存储？和这个没关系。

数据加密存储可以防止数据库被直接盗走，但是嫌疑人是通过系统接口盗取的数据。即使数据库是加密的，通过接口访问肯定也是被解密的数据了。

出现这个问题，说明Coupang有机制性问题。领导层平时对数据安全不够重视，投入不足，未建立与业务规模匹配的安全体系。

4.   如何预防，信息安全需足够投入

首先，管理层必须重视，信息安全需要足够投入，底线需要守住。很明显，本次事件暴露出Coupang在信息安全建设方面投入不足，欠下很多历史债。

第二，建立完善的研发安全体系。电商行业涉及支付和敏感的数据信息，如果出现安全事件，会造成金钱损失，比如被薅羊毛。或者像本次事件一样，造成严重的业务损失。如何减少风险，需要基于SDL理念，建立完善的研发安全体系。包括需求安全评审、架构设计安全评审、编码安全培训、代码安全扫描、上线渗透测试、运行阶段定期安全扫描等措施。

第三，细化安全运营。本次事件，暴露出安全运营还不够细致，如果有对用户访问和日志的深入分析，就能更早发现问题。电商行业需要部署安全信息和事件管理系统（SIEM）和用户实体行为分析（UEBA）工具。重点监控数据批量访问、批量提取或批量下载行为、非正常时间或地点的登录、特权账户的异常活动。对任何异常行为立即生成告警并触发安全响应。

目前，很多零售行业也有电商业务，他山之石可以攻玉，希望这次事件能引起一些开展电商业务的零售企业重视。不要真的出了重大安全事件，才开始信息安全建设。