Coupang, maxi fuga di dati: 33 milioni di clienti nel mirino

Il blitz a Seul: cosa è successo nelle sedi di Coupang

Nelle prime ore del 9 dicembre 2025 la polizia sudcoreana ha fatto irruzione nella sede centrale di Coupang a Seul e in altre strutture del gruppo, sequestrando server e documenti per ricostruire nel dettaglio la maxi violazione dei dati personali che ha colpito 33,7 milioni di clienti, cioè quasi due terzi della popolazione del Paese.

Gli investigatori parlano di una “perquisizione e sequestro” ritenuta necessaria per misurare con precisione la portata del danno e verificare le responsabilità dell’azienda nella protezione dei dati sensibili dei consumatori.

Una falla lunga cinque mesi: la cronologia dell’attacco

Secondo quanto emerso dalle comunicazioni ufficiali dell’azienda e delle autorità, l’accesso non autorizzato ai sistemi di Coupang sarebbe iniziato il 24 giugno 2025 attraverso server situati all’estero. Il problema è stato però individuato solo il 18 novembre, dopo ben cinque mesi di esposizione silenziosa dei dati.

In un primo momento Coupang aveva comunicato un impatto limitato, parlando di qualche migliaio di account coinvolti e definendo l’accaduto una semplice “esposizione” di informazioni. Con il progredire delle indagini, l’azienda è stata costretta a correggere il tiro: i dati coinvolti sono in realtà 33,7 milioni di account, e le autorità coreane hanno imposto di chiamare l’episodio con il suo nome: violazione dei dati personali.

Che cosa è finito nelle mani degli hacker

La fuga non avrebbe toccato i sistemi di pagamento né le credenziali di accesso, ma l’elenco di ciò che è emerso è comunque pesante:

• nome e cognome dei clienti;
• indirizzi e-mail e numeri di telefono;
• indirizzi di spedizione completi;
• storico degli ordini per una parte significativa degli utenti.

In pratica, un manuale perfetto per orchestrare campagne di phishing mirato, truffe e furti d’identità. Le autorità di vigilanza hanno obbligato la piattaforma a inviare nuove notifiche a tutti i clienti interessati, invitandoli a diffidare di e-mail o telefonate sospette che facciano riferimento ai loro acquisti su Coupang.

Il sospetto di un insider e la pista delle chiavi di cifratura

Sul fronte tecnico, gli indizi raccolti finora dipingono un quadro molto delicato. L’attacco sarebbe stato possibile sfruttando chiavi di autenticazione usate per firmare i token di accesso ai sistemi di Coupang. Una parte degli esperti che collaborano con l’indagine parla di gestione superficiale delle chiavi crittografiche, rimaste valide a lungo anche dopo cambi di personale.

In questo contesto, prende corpo l’ipotesi di un coinvolgimento interno: un ex ingegnere che aveva lavorato sui meccanismi di autenticazione sarebbe tra i principali sospettati. Le autorità stanno seguendo la pista di un attacco condotto da remoto, attraverso server esteri, sfruttando credenziali o chiavi conservate in modo non conforme alle best practice di sicurezza.

L’azienda, da parte sua, sostiene di aver bloccato il canale di accesso e rafforzato i controlli non appena scoperta l’intrusione, oltre ad aver ingaggiato una società di sicurezza indipendente per analizzare a fondo quanto accaduto.

Coupang sotto assedio legale e politico

La maxi fuga di dati non ha solo conseguenze tecniche. Il caso è diventato immediatamente politico. Il presidente sudcoreano Lee Jae Myung ha chiesto pubblicamente sanzioni più severe contro le aziende che non proteggono adeguatamente i dati dei cittadini e una revisione delle norme su multe e risarcimenti, con l’obiettivo di creare una cultura della “privacy by design” nell’era della digitalizzazione e dell’intelligenza artificiale.

Per Coupang, che nel 2024 ha registrato ricavi per circa 38,3 trilioni di won, gli esperti stimano la possibilità di una multa superiore a un trilione di won in base alle leggi vigenti sulla protezione dei dati. A ciò si aggiunge un’ondata di azioni legali: associazioni di consumatori e studi legali stanno preparando una class action anche contro la casa madre quotata a New York.

Nel frattempo, la Personal Information Protection Commission (PIPC), l’autorità nazionale per la privacy, ha aperto un’indagine formale e imposto alla società una serie di misure correttive: comunicazioni più trasparenti ai clienti, pubblicazione di informazioni dettagliate sul sito e piani concreti per prevenire danni secondari come frodi e truffe.

Le scuse dell’azienda e il malumore dei clienti

Investita dalla bufera, Coupang ha pubblicato una lettera di scuse in cui ammette la gravità della violazione, pur insistendo sul fatto che i dati finanziari e le password non sarebbero stati compromessi. La società afferma di collaborare con il ministero delle Telecomunicazioni, con l’agenzia nazionale di polizia, con la PIPC e con altri organismi di controllo.

Non basta però a placare i consumatori: crescono il malcontento e la sfiducia, anche perché la piattaforma è profondamente integrata nella vita quotidiana del Paese. Coupang gestisce il popolare servizio di consegna rapida “rocket delivery” e negli ultimi anni è diventata il canale principale per la spesa online, dai prodotti freschi ai gadget tecnologici.

Molti utenti contestano soprattutto i tempi di reazione: cinque mesi tra l’inizio dell’attacco e la sua scoperta sono percepiti come un’eternità in un ecosistema digitale in cui ogni ora di esposizione aumenta esponenzialmente il rischio di abusi.

Effetto domino: la Corea del Sud e il passato di grandi fughe di dati

Il caso Coupang arriva in un Paese già segnato da grandi incidenti di cybersicurezza. Nel 2011 la fuga di dati da Cyworld/Nate aveva esposto i dati di decine di milioni di cittadini; nel 2025 altri episodi, come la violazione collegata all’operatore SK Telecom, hanno contribuito a rendere la popolazione sudcoreana particolarmente sensibile al tema della privacy digitale.

Non stupisce quindi che la fuga di dati da Coupang sia stata definita una delle peggiori degli ultimi dieci anni nel Paese e che il governo stia valutando una stretta complessiva sulle regole: controlli più rigorosi sui sistemi di sicurezza, obblighi di segnalazione più rapidi e sanzioni più pesanti per chi sottovaluta la protezione dei dati.

Cosa rischiano i clienti: i pericoli concreti

Anche in assenza di furto di carte di credito o di password, il potenziale di danno è significativo. Con nomi, recapiti e cronologia degli ordini, gli attaccanti possono costruire messaggi estremamente credibili:

• e-mail che imitano perfettamente le comunicazioni ufficiali di Coupang;
• sms con riferimenti a spedizioni reali per indurre a cliccare su link malevoli;
• telefonate di finti operatori che chiedono codici di carte o dati bancari;
• furti d’identità, ad esempio per aprire conti o contrarre servizi a nome delle vittime.

Per questo le autorità e la stessa azienda invitano a non cliccare su link sospetti, a verificare sempre gli indirizzi dei siti prima di inserire dati sensibili e a segnalare immediatamente alle forze dell’ordine ogni tentativo di truffa riconducibile all’uso dei dati fuoriusciti.

Lezioni per l’e-commerce globale

Il caso Coupang non riguarda solo la Corea del Sud. È un campanello d’allarme per tutte le piattaforme di e-commerce che gestiscono enormi quantità di informazioni personali, spesso abbinate a sistemi di raccomandazione basati su intelligenza artificiale.

La vicenda mette in evidenza alcuni punti chiave:

• gestione rigorosa delle chiavi di cifratura e degli accessi privilegiati;
• monitoraggio continuo di attività anomale sui sistemi, con rilevamento precoce e risposta rapida;
• trasparenza nelle comunicazioni con utenti e autorità, evitando minimizzazioni che danneggiano la fiducia;
• piani di incident response chiari, testati e aggiornati.

In un mercato in cui la concorrenza è feroce e il vantaggio competitivo passa sempre più dalla fiducia, una violazione di queste proporzioni rischia di pesare a lungo sulla reputazione del gruppo e, per riflesso, sull’intero settore.

Cosa può fare ora chi usa Coupang

Gli esperti di sicurezza consigliano ai clienti coinvolti di:

• controllare con attenzione le comunicazioni ufficiali di Coupang e conservare le notifiche ricevute;
• diffidare di qualunque messaggio che chieda codici, password o dati di pagamento in nome dell’azienda;
• monitorare movimenti bancari e attività sui propri account online;
• valutare, dove previsto, l’uso di servizi di monitoraggio del credito o di allerta antifrode;
• aggiornare le password di altri servizi nel caso siano simili a quelle usate su Coupang.

La vicenda, in definitiva, ricorda a tutti che la comodità dell’e-commerce ha un prezzo: la sicurezza dei dati non è un dettaglio tecnico, ma una componente essenziale dei diritti dei consumatori.