6,246억 원의 경고장: 쿠팡이 쏘아 올린 개인정보 보호의 거대한 파문 > K-wave Trends

Incydent ten rozpoczął się, gdy w wyniku włamań wyciekła duża ilość danych osobowych około 37,5 miliona osób. W wyniku dochodzenia ujawniono, że były pracownik Coupang ukradł informacje o członkach, nadużywając wewnętrznego klucza podpisu uwierzytelniającego, co dowodzi, jak luźny był najbardziej podstawowy system bezpieczeństwa firmy, czyli kontrola dostępu. Hakerzy swobodnie przechodzili między stronami edycji członków i stronami zarządzania adresami dostawy, aby reorganizować profile, a nawet sprawdzali niezwykle wrażliwe informacje, takie jak historia zakupów produktów dla dorosłych i bielizny, aby zagrozić firmom. Jeszcze bardziej szokujące jest to, że chociaż Coupang był świadomy incydentu, opóźniał reakcję, przekraczając termin powiadomienia prawnego, a nawet odkryto, że w dochodzeniu występowały systematyczne przeszkody, takie jak ręczne usuwanie zapisów w dzienniku, które mogły służyć jako dowód w trakcie dochodzenia, lub zaniedbanie polityki automatycznego usuwania. Ta całkowita niewrażliwość na bezpieczeństwo ostatecznie doprowadziła do ogromnej liczby ofiar, sięgającej 37,5 miliona osób, i wzbudziła poważne wątpliwości co do możliwości firmy w zakresie zarządzania danymi.

Nie jest to tylko incydent hakerski, ale fakt, że Coupang zbiera dane użytkowników bez podstawy prawnej, jest wskazywany jako poważniejszy problem. Prowadząc program marketingu afiliacyjnego „Coupang Partners”, Coupang śledził i przechowywał dane dotyczące aktywności 11,17 mln osób, które bez zgody korzystały z witryn lub aplikacji stron trzecich innych niż jej własne. Są to wrażliwe dane, które obejmują informacje o adresie URL, adresie IP dostępu, dacie i godzinie itp. dotyczące tego, gdzie użytkownicy odwiedzają i jakich aplikacji używają, i niosą ze sobą ryzyko wywnioskowania o tendencjach politycznych i religijnych wykraczających poza zainteresowania i tendencje użytkownika. Ponadto fakt, że nie zarządzała ona odpowiednio firmami partnerskimi, które zamieszczały oszukańcze reklamy, tzw. „reklamy porwania”, ani nie nadzorowała ich, a także nie pozwalała na gromadzenie dokumentacji korzystania z usług niezależnie od woli użytkowników, wyraźnie pokazuje zaniedbanie przez nich odpowiedzialności jako firmy platformowej. W końcu trudno uniknąć krytyki, że firmy przerodziły się w stróżów, którzy generują zyski za pomocą danych, a nie w dostawców usług dla klientów.

Odbiegające od normy zachowanie naszej spółki zależnej, Coupang Fulfillment Service (CFS), również miało decydujący wpływ na obliczenie tej kary. CFS nielegalnie zebrało nazwiska 71 reporterów pracujących w Krajowej Agencji Policji, którzy nie pracowali w centrum dystrybucyjnym, zarejestrowali ich i zarządzali na liście osób ograniczających zatrudnienie, co uznano za czyn, który wstrząsnął podstawami ustawy o ochronie danych osobowych. Ponadto ujawniono, że firma naruszyła przepisy ograniczające przetwarzanie informacji wrażliwych, przekazując do sądu informacje dotyczące masy ciała zebrane w imię zarządzania zdrowiem pracowników w toku procesów o wypadki przy pracy. Ta seria działań nie jest po prostu incydentem bezpieczeństwa, ale sugeruje, że w firmie nie było świadomości etycznej w zakresie ochrony danych osobowych. Komisja ds. danych osobowych zebrała te różne naruszenia i zdecydowała o najwyższym w historii poziomie sankcji, biorąc pod uwagę skalę sprzedaży i powagę naruszenia, ponownie przypominając firmom o powadze zarządzania danymi.

Coupang wyraził ubolewanie z powodu tej decyzji, twierdząc: „Działamy w modelu partnerstwa zgodnie ze światowymi standardami i dołożyliśmy wszelkich starań, aby zapobiec wtórnym szkodom”. Odpowiedź Coupanga, polegająca na wyjaśnieniu faktów w drodze procedur prawnych, zapowiada zaciekłą batalię prawną o stosowność wysokości grzywny w przyszłości. Ale opinia publiczna jest obojętna. W sytuacji, gdy wyciekły już dane osobowe 37,5 mln osób, wymówki firmy niewiele pomagają w odbudowie zaufania, pojawiają się także głośne głosy nawołujące do wykrycia luk w systemie bezpieczeństwa wewnętrznego i odbudowania jego podstawowych ram. Komisja ds. Danych Osobowych zagroziła również, że wykroczy poza zwykłe nakładanie kar finansowych i będzie przeprowadzać kontrole co trzy miesiące, aby upewnić się, że inspektorowi ochrony danych osobowych przysługują rzeczywiste uprawnienia oraz że wdrożono środki zapobiegające powtarzającym się nadużyciom. To ostrzega, że ​​jeśli Coupang nie wykorzysta tego incydentu jako okazji do ponownego ustanowienia swojej kultury korporacyjnej skupionej na bezpieczeństwie, zaufanie do rynku spadnie w niekontrolowany sposób.