超瞎！三千萬客戶個資被離職中國員工竊走 5個月未察洩密

酷澎內控崩壞 電商資安破口震撼韓國

韓國最大電商酷澎爆發重大個資外洩，所有韓國客戶個資遭離職中國員工竊取，長達五個月未察覺。事件引發國安與監管疑慮，政府加重調查與懲處，集體訴訟與高額賠償風險升溫。

撰文‧乾隆來


韓國最大的電子商務平台酷澎（Coupang）驚爆客戶資訊遭竊的洩密事件，韓國超過三三七○萬名客戶的基本資料，全部被「已經離職的中國員工」從海外管道偷走，雖然被竊取的資訊並不包含金流密碼，但是客戶個資，生辰年月、手機、e-mail、下單資訊，甚至連家裡大門電子鎖的密碼都被竊走。執行長朴大俊（Park Dae-jun）於十一月底在全國媒體面前，以九十度的鞠躬向用戶致歉，風暴仍在擴大、延燒中。

韓國人口五千一百多萬人，這次酷澎一次洩露三三七○萬名客戶資訊，還包括外送員送貨到數以千戶計的社區、公寓大門的密碼，等於把韓國人的資訊全都曝光在中國人眼皮下。這不只是韓國史上最大的個資洩露風暴，更是毫無遮掩的國安破口。


簡易登入埋資安失衡風險

酷澎在二○二二年底大舉進軍台灣，二三年更曾經衝上iPhone免費App下載次數最多的冠軍寶座，甫公布的第三季財報更宣布台灣市場「呈現三位數的高速增長」（年增率超過一○○％），台灣成為酷澎最重要的海外市場與業績增長動能來源。根據酷澎公司的說法，台灣因為採取比韓國更為嚴格的客戶資料保護措施，台灣用戶資訊並未遭到洩漏。

但是，酷澎客戶資訊洩密事件，對台灣所有電商與金融服務的企業、以及政府相關單位，都是最鮮明、最強烈的警示案例。洩密事件並未隨著朴大俊的鞠躬致歉而落幕，從內部疏失到消費者、國會、檢調各方持續升高的懲處與法律訴訟，值得台灣各界緊盯關注。

酷澎在客戶資訊管控的疏失，漏洞大到令人訝異。離職員工從六月二十四日開始，透過海外伺服器竊取韓國客戶資訊，公司卻一直到五個月後的十一月十八日才發現，而且一開始對外聲稱只有四千多名客戶的資訊遭竊，最後發現是所有、超過三三七○萬名客戶的資訊全數遭到竊取。

洩密事件曝光已超過三周，酷澎還未向外說明，究竟離職的中國員工是如何取得入侵關鍵伺服器的密碼？犯罪者的身分、犯罪手段、以及犯罪目的都還未向外公布，公司只描述了面貌模糊的「一名負責身分驗證的中國離職員工」。

還有， 台灣市場在二二年底才正式啟動，因此在客戶資訊保護上領先韓國， 使用比較先進的生物辨識登入系統，但是起家的韓國市場至今還是傳統的密碼登入。酷澎公司維持簡易登入門檻來鼓勵客戶消費、耗費巨資在業務補貼，維持營收與股價，卻忽略了保護消費者的基本資料。朴大俊在事件爆發後面臨排山倒海的斥責，只得公開認錯說：「我們承認有許多漏洞，並將會盡速在韓國引進這項（生物辨識免密碼登入）技術」。

國安疑慮與反中情緒升溫

為了平息消費者的怨氣，韓國政府對於酷澎的偵查與懲處正在不斷升高。事件爆發兩周後，韓國總統李在明在內閣會議中公開批評，指稱洩密長達五個月後才發現，「令人震驚」，李在明要求行政部門盡速查明責任人、追究最終責任，同時也要求對資訊外洩事件的罰鍰與懲罰性賠償進行審查。

李在明指示韓國科技部部長裴京勳，徹底調查酷澎資訊安全的破口，不只要查出洩密的源頭，還要針對韓國所有企業的客戶資訊保護機制，提出具體改良方案。

韓國總統府幕僚長姜勳植則對記者說，韓國「個人資訊保護體系存在結構性漏洞」。政府統計自二一年以來，發生過四起重大資料外洩事件，今年四月，韓國最大的行動電信商SK Telecom因網路攻擊， 導致近二七○○萬用戶資料洩露，被政府處以約一三四○億韓元（約新台幣三十億元）的罰款。姜勳植也表示，目前的懲罰性賠償制度執行不力，無法有效防止大規模資料外洩，政府將酷澎事件當成改革契機，加大懲罰性賠償制度。

「離職中國籍員工」的身分，也給韓國不斷升溫的反中情緒火上加油，國會議員與媒體詢問朴大俊等公司高管「到底有多少中國員工？他們怎麼能掌握所有客戶的密碼？」但是朴大俊等人都以已經送交警方、偵查不公開來回應。

事實是，酷澎最大股東是軟銀集團（SoftBank），電商系統架構類似阿里巴巴、京東等中國電商平台；酷澎喜歡雇用薪水較低、又有相關經驗的中國工程師；另一方面，中國工程師也樂於加入酷澎，因為韓國企業對員工的壓搾遠低於中國電商。再者，酷澎團隊也外包工作給遠端上班的中國工程師，朴大俊不願公開到底有多少中國籍的工程師，實際上，可能根本算不出來。

除了政府官員與國會議員，網路上也是一片罵聲，最極端的留言甚至說：「這是一家中國公司」、「讓我們關閉酷澎」、「這家公司把國家賣給了中國，讓它破產！」


集體訴訟賠償上看七百億

客戶資訊遭竊事件爆發後，酷澎在紐約股市交易的股票下跌約一○％，總市值跌至約五○○億美元，但是與年初相較，仍然有二○％左右的漲幅。整體消費者的反應也相對溫和，新聞曝光後，因為大量非活躍用戶登入檢查自己的帳號，每日活躍用戶甚至還向上攀升至超過一八○○萬戶，截至本文截稿前，酷澎的交易只略微下跌。

不過，消費者集體訴訟則正在升溫，目前有超過一萬名客戶加入針對酷澎的集體訴訟，提案的律師河熙奉表示，集體訴訟目標是「為每人尋求超過十萬韓元的賠償」。換算每名消費者略高於新台幣二千元似乎是個小數字，但是如果乘以三三七○萬名用戶，那就是將近新台幣六八○億元的天文數字了。

消費者集體訴訟的行動剛剛開始，除了河熙奉律師之外，公民團體「參與式民主人民團結會」也在酷澎總公司前召開記者會，宣布提起集體求償訴訟。

韓國檢警除了立案偵辦之外，具有高度政治色彩的特別檢察廳，在十二月六日宣布啟動偵查「外力施壓不起訴酷澎離職補償金指控」，此案雖然與資料外洩沒有直接關聯，而是光州高等檢察廳前檢察官嚴熙俊在酷澎離職金案調查期間，涉嫌施加外部壓力，可能因此揭露酷澎公司的政治脈絡，引起高度關注。

在政府懲處方面，韓國國會科學技術資訊廣播通訊委員會在十一月二日首度傳喚朴大俊，要求說明客戶資訊遭竊事件，但是朴大俊對於關鍵問題，都以「已向警方報案、偵查訊息無法公開」來回應；韓國國會因此由國防委員會安排在十一月十七日舉行聽證會，各界高度關注酷澎創辦人暨董事長金範錫（Bom Kim）是否出面、有無更詳細訊息公開。

酷澎客戶資訊全數遭竊的風暴，暴露出掌握數百萬、甚至千萬名客戶資訊的超大型企業存在道德風險，拚命追求利潤的企業，疏忽資訊安全防護，四處都是資安破口，早晚會爆發危害社會安全的風暴。掌握國民資訊的大型企業資訊安全，政府到底要管到哪裡，的確是所有人都應該深思的重大課題。

（本文作者為紐約大學金融碩士，曾任金控公司副總經理）

…本文摘錄自今周刊 2025/12月 第1512期