Asien

Sydkorea bötfäller Coupang för massiv kunddataläcka

624 miljarder won efter att uppgifter om över 34 miljoner kunder läckt ut via tidigare anställd, dataskydd blir intäkt för myndigheter och diplomatisk stridsfråga när utländskt börsbolag hamnar i skottlinjen

Bilder

Image Credits:Coupang Image Credits:Coupang techcrunch.com
Zack Whittaker Zack Whittaker techcrunch.com
North Korean soldiers attend a mass rally to celebrate the North's declaration on November 29 it had achieved full nuclear statehood, on Kim Il-Sung Square in Pyongyang on December 1, 2017. North Korea's leader Kim Jong-Un declared the country had achieved a "historic cause" of becoming a nuclear state, its state media said on November 29, after the country tested an intercontinental ballistic missile earlier in the day. North Korean soldiers attend a mass rally to celebrate the North's declaration on November 29 it had achieved full nuclear statehood, on Kim Il-Sung Square in Pyongyang on December 1, 2017. North Korea's leader Kim Jong-Un declared the country had achieved a "historic cause" of becoming a nuclear state, its state media said on November 29, after the country tested an intercontinental ballistic missile earlier in the day. techcrunch.com
ServiceNow logo at Singapore FinTech Festival in November 2023. ServiceNow logo at Singapore FinTech Festival in November 2023. techcrunch.com
A delivery driver for Coupang's Dawn Delivery service A delivery driver for Coupang's Dawn Delivery service techcrunch.com

Sydkoreas integritetsskyddsmyndighet har bötfällt näthandelsjätten Coupang med 624 miljarder won, över 400 miljoner dollar, efter ett dataintrång som blottlade personuppgifter kopplade till mer än 34 miljoner kunder, rapporterar TechCrunch. Myndigheten, Personuppgiftskommissionen, uppger att intrånget upptäcktes i december 2025 och pågick i månader. En före detta anställd ska ha kommit över uppgifter som namn, e-post- och leveransadresser, telefonnummer samt orderhistorik.

För Coupang, som TechCrunch beskriver som med huvudkontor i USA men dominerande i Sydkorea, gör bötesbeloppets storlek en i grunden välbekant intrångshistoria till ett gränsöverskridande regelefterlevnadsproblem. Kommissionen beskriver beslutet som den högsta möjliga sanktionsnivån och Coupang säger att bolaget kommer att bestrida beslutet. Striden kommer att föras på två plan samtidigt: dels en teknisk tvist om vilka skydd som brustit, dels en politisk tvist om huruvida ett utländskt börsnoterat flaggskepp görs till varnande exempel.

Fallet visar också hur tillsyn av dataskydd i allt högre grad blir en intäktshändelse för myndigheter och en balansräkningshändelse för plattformar. Ett intrång som drabbar ”miljontals” är inte längre bara en kundtjänstkris; det blir en kostnadspost som kan tvinga fram ändrade investerings- och anställningsplaner. Bolag som byggt tillväxt på hårt centraliserade kunddatabaser måste nu räkna in priset för att hålla databaserna låsta, granskade och internt uppdelade så att en enda behörighet inte öppnar hela lagret.

TechCrunch skriver att sydkoreanska lagstiftare anklagat vissa amerikanska lagstiftare för politiska påtryckningar kopplade till ärendet, och att amerikanska företrädare knutit intrånget till de bilaterala relationerna i takt med att processen mot Coupangs chefer gått vidare. Den sortens koppling gör det svårare att behandla tillsynen som en rent inrikes fråga: när sanktioner och åtal ramas in som diplomatisk friktion blir varje nästa intrång hos ett utländskt bolag ett prov på konsekvens.

Samtidigt är den sårbarhet som TechCrunch beskriver inte någon avancerad nätattack utan åtkomst inifrån: en före detta anställd ska ha fått tag på data i en omfattning som i rapporten liknas vid omkring två tredjedelar av Sydkoreas befolkning. Det är just det scenario som är svårast att lösa med enbart yttre skydd, eftersom det i stället handlar om hur åtkomst beviljas, loggas och löpande granskas inne i företaget.

Myndighetens beslut hamnar nu på Coupangs jurister och ekonomer, men sakförhållandena är i sig vardagliga: ett intrång som upptäcktes i december 2025, månader av exponering och kundregister så koncentrerade att en enda anställd kunde gå därifrån med dem.