韓国のネット通販の会社で、顧客アカウントへの不正なアクセスにより、約3370万件の顧客情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、電話番号、メールアドレス、配送先住所、注文情報。会社公表で3370万アカウント、個人情報保護委員会の認定で約3750万人。決済情報とパスワードは含まれないと会社は説明したです。その後の対応と影響は、会社はアクセスに使われた鍵を無効にし、監視を強めた。警察・個人情報保護委員会・韓国インターネット振興院の調査に協力し、2025年12月に被害者への補償策を出した。政府は届け出が発見から53時間以上後で24時間の期限を過ぎたとした。個人情報保護委員会は、保存命令の後に会社が5か月分のアクセス記録を消したことも指摘し、約6247億ウォンの課徴金を科したです。

原因になったのは「退職した社員による署名鍵の悪用」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

政府の調査によると、認証の仕組みの設計に関わった元技術者が2024年11月に退職する際に社内の署名鍵を持ち出し、会社はその鍵をすぐに無効にしていなかった。鍵で偽のログイン用トークンを作り、2025年4月から11月まで顧客アカウントにアクセスした。政府は高度な攻撃よりも管理の問題だとした。個人情報保護委員会はトークンを使う認証の弱さを指摘した。

原因の種類は「内部不正」です。社員や関係者が、情報を持ち出した事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は2件あります。

事故が起きてから公表されるまで

1. 2024年11月、認証の仕組みに関わった技術者が退職した（政府調査）
2. 2025年4月、持ち出された署名鍵を使った顧客アカウントへのアクセスが始まった（政府調査）
3. 11月18日に会社が約4,500件の不正なアクセスに気づき、11月20日に当局へ届け出た
4. 11月29日、会社が3370万アカウントの流出を発表した
5. 2026年2月10日に政府が調査結果を発表し、6月11日に個人情報保護委員会が約6247億ウォンの課徴金を科した

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

社員が退職する時に、その人が触れた鍵や認証の情報を入れ替える手順があり、長く使われている鍵を定期的に更新していれば、退職後の不正なアクセスを防げた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 退職者が触れた鍵・トークン・パスワードを、退職日に入れ替える手順があるかを確認する
2. 認証に使う署名鍵の保管場所と、最後に入れ替えた日を一覧にする
3. 同じ利用者から短い時間に大量のアカウント情報が見られた時に通知が出るかを確かめる

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Coupang fails to detect data breach affecting over 4,500 customers for 12 days（Korea JoongAng Daily）2025.11.21
• Retail giant Coupang suffers data breach impacting 33.7 million people（BleepingComputer）2025.12.01
• S. Korea Blames Coupang Data Breach on Management Failure, Not Sophisticated Attack（Insurance Journal／Reuters）2026.02.10
• Coupang faces record-high fine of $409 million over last year's data breach（Korea JoongAng Daily）2026.06.11