Datenleck bei Südkoreas Coupang: 33,7 Millionen Kundenkonten betroffen

Was passiert ist und warum es wichtig ist

Coupang, Südkoreas größte E-Commerce-Plattform, hat ein weitreichendes Datenleck offengelegt, bei dem personenbezogene Daten von 33,7 Millionen Kundenkonten betroffen waren. Nach Angaben der Ermittler begann der unbefugte Zugriff wahrscheinlich im Juni über Server außerhalb des Landes und blieb monatelang unentdeckt. Damit ist mehr als die Hälfte der Bevölkerung des Landes betroffen. Alltägliche Nutzer, Familien und kleine Unternehmen könnten nun ins Visier von Betrugsversuchen geraten, wie sie auf große Lecks personenbezogener Daten häufig folgen.

Nach Angaben des Unternehmens umfassen die offengelegten Daten Namen, Mobilfunknummern, E-Mail-Adressen, Lieferadressen und Angaben zu bestimmten früheren Bestellungen. Zahlungskartendaten, Bankinformationen und Zugangsdaten seien nicht abgerufen worden. Auch ohne Finanzdaten kann die Kombination aus Kontaktinformationen und Bestellhistorie überzeugende Betrugsversuche ermöglichen, bei denen sich Täter als Mitarbeiter des Kundendienstes oder als Zusteller ausgeben. Kunden wurden aufgefordert, bei Anrufen, SMS oder E-Mails wachsam zu sein, in denen sie nach Codes, Passwörtern oder Zahlungsdaten gefragt werden.

Coupang entschuldigte sich und meldete den Vorfall den Behörden, kurz nachdem das Unternehmen Mitte November ungewöhnliche Zugriffe auf eine kleine Zahl von Konten festgestellt hatte. Die zunächst genannte Zahl von etwa 4.500 kompromittierten Konten stieg rasch, als die Ermittler den Umfang der Untersuchung ausweiteten. Die Polizei prüft, ob ein ehemaliger Mitarbeiter, der sich inzwischen im Ausland aufhält, eine Rolle gespielt hat. Die Aufsichtsbehörden untersuchen, ob Coupang gegen Datenschutzvorschriften verstoßen hat. Sie haben angekündigt, dass bei bestätigten Verstößen Sanktionen folgen werden.

Wie sich das Datenleck entwickelte

Nach Angaben des Unternehmens und staatlicher Stellen betraf das Datenleck personenbezogene Lieferdaten und ging offenbar auf Zugriffe über ausländische Server seit Ende Juni zurück. Coupang stellte am 18. November ungewöhnliche Aktivitäten fest und informierte die Behörden innerhalb von zwei Tagen. Nachdem das Unternehmen den mutmaßlichen Zugriffsweg gesperrt und die interne Überwachung verstärkt hatte, leitete es gemeinsam mit Sicherheitsexperten und Strafverfolgungsbehörden eine Untersuchung ein. Im Verlauf der forensischen Analyse stieg die Zahl der betroffenen Konten auf mehrere zehn Millionen.

Nach Angaben der Behörden könnte eine Schwachstelle bei der Überprüfung bestimmter Server ausgenutzt worden sein. Dadurch hätte ein Außenstehender wiederholt Daten abziehen können, ohne sofort Alarm auszulösen. Diese Möglichkeit und Hinweise darauf, dass ein Insider mit den Systemen vertraut war, stehen nun im Mittelpunkt der Ermittlungen. Die Regierung berief eine Dringlichkeitssitzung ein und stellte ein öffentlich-privates Team zusammen, das technische Analysen, Unterstützung für Betroffene und regulatorische Maßnahmen koordinieren soll.

Welche Daten offengelegt wurden und welche Risiken bestehen

Der Datensatz umfasst Berichten zufolge alltägliche personenbezogene Angaben, die Kunden für Lieferungen machen: Name, Mobilfunknummer, E-Mail-Adresse, Lieferadresse und Teile der Bestellhistorie. Zahlungskartennummern, Bankinformationen und Passwörter waren nicht enthalten. Das mindert zwar das unmittelbare finanzielle Risiko, doch die offengelegten Daten ermöglichen weiterhin sogenanntes Social Engineering. Betrüger können sich als Händler, Logistikdienstleister oder sogar als Bank ausgeben und ihre Opfer dann dazu drängen, Einmalcodes preiszugeben oder Schadsoftware zu installieren.

Phishing per SMS, auch Smishing genannt, ist eine häufige Folge großer Datenlecks. Angreifer nutzen echt wirkende Lieferbenachrichtigungen oder Kontowarnungen, um Betroffene auf gefälschte Anmeldeseiten zu lotsen oder Einmalcodes für die Übernahme von Konten abzugreifen. Angaben zu Bestellungen können solche Nachrichten noch glaubwürdiger wirken lassen. Kunden sollten unerwarteten Nachrichten und Anrufen mit Vorsicht begegnen, besonders wenn darin Zahlungen, Codes oder Fernzugriff auf ein Gerät verlangt werden.

Coupang zufolge wurden keine Passwörter gestohlen. Kriminelle versuchen jedoch häufig, Passwörter zurückzusetzen, indem sie dafür offengelegte Kontaktdaten nutzen. Achten Sie auf unerwartete Aufforderungen zum Zurücksetzen von Passwörtern oder zur Bestätigung von Anmeldungen. Prüfen Sie Änderungen ausschließlich in der offiziellen App oder auf der offiziellen Website, nicht über einen Link in einer Nachricht. Aktivieren Sie, wo verfügbar, die Zwei-Faktor-Authentifizierung. Prüfen Sie aktuelle Bestellungen und gespeicherte Lieferadressen auf Änderungen, die Sie nicht vorgenommen haben.

Wer dahinterstecken könnte

Die Polizei hat nach Angaben von mit den Ermittlungen vertrauten Vertretern einen Verdächtigen identifiziert, der ehemaliger Mitarbeiter und ausländischer Staatsangehöriger ist. Berichten zufolge hat die Person das Land verlassen. Die Ermittler prüfen, ob der Verdächtige eine Lücke bei der Serverüberprüfung ausgenutzt oder nach seinem Ausscheiden weiterhin Zugriff gehabt hat. Insiderwissen kann es erleichtern, Schwachstellen zu finden, insbesondere wenn Systemprotokolle und Zugriffsrechte nicht streng kontrolliert werden.

Insider-Risiken beschränken sich nicht auf vorsätzliches Handeln. Fehler, zurückgelassene System-Token und ein verzögerter Entzug von Zugriffsrechten können Datenzugänge offenlegen, die anschließend von Angreifern von außen ausgenutzt werden. Strenge Zugriffskontrollen, die regelmäßige Erneuerung und der Entzug von Zugangsdaten, lückenlose Protokollierung und Verhaltensüberwachung sind entscheidend, um dieses Risiko zu verringern. Die Aufsichtsbehörden haben die Schwere des Vorfalls betont und ein rasches Vorgehen zugesagt.

Das Ministerium für Wissenschaft und Informations- und Kommunikationstechnologie (ICT) äußerte sich zur Offenlegung von Kontaktdaten von Millionen Bürgern und formulierte Erwartungen an die Untersuchung.

Es erklärte, eine rasche Untersuchung werde durchgeführt und bei festgestellten Verstößen würden strenge Sanktionen verhängt.

Reaktionen der Behörden und von Coupang

Die Regierung leitete innerhalb weniger Tage nach der ersten Meldung eine formelle Untersuchung ein und stellte ein gemeinsames Einsatzteam aus Strafverfolgungsbehörden und technischen Stellen zusammen. Die Kommission für den Schutz personenbezogener Daten prüft, ob Datenschutzvorschriften verletzt wurden. Coupang zufolge wurde der Zugriffsweg gesperrt, die interne Überwachung verstärkt und die Zusammenarbeit mit den Behörden aufgenommen. Das Unternehmen hat Kunden aufgefordert, sich vor Identitätsbetrug zu hüten und sich auf offizielle Kommunikationskanäle zu verlassen.

Das Datenleck ist größer als schwere Vorfälle zu Jahresbeginn bei einem führenden Mobilfunkanbieter, von denen mehr als 23 Millionen Nutzer betroffen waren und die zu einer Rekordstrafe führten. Die Aufsichtsbehörden haben angekündigt, dass bei unzureichenden Kontrollen strenge Sanktionen verhängt werden. Die Behörden prüfen außerdem, ob Branchenempfehlungen zur Serversicherheit, zum Entzug von Zugriffsrechten beim Ausscheiden von Mitarbeitern und zur Zugriffsüberprüfung verschärft werden müssen.

Warum die Zertifizierung den Vorfall nicht verhindert hat

Coupang verfügt über ISMS-P, die nationale Zertifizierung für Informationssicherheit und den Schutz personenbezogener Daten. Das Unternehmen erhielt die Zertifizierung 2021 und erneuerte sie 2024. Dennoch gab es seit 2020 mehrere Vorfälle, und wegen früherer Verstöße wurden gegen das Unternehmen Geldbußen verhängt. Das hat eine breitere Debatte darüber verschärft, was eine Zertifizierung tatsächlich gewährleistet. Bei ISMS-P-Prüfungen stehen dokumentierte Richtlinien, Prozesse und Kontrollen im Mittelpunkt. Eine Zertifizierung ist jedoch keine Garantie gegen tatsächliche Sicherheitslücken, menschliches Versagen oder den Missbrauch von Zugriffsrechten durch Insider.

Kritiker argumentieren, dass bei Prüfungen die formale Einhaltung von Vorgaben stärker gewichtet werden kann als der konkrete Nachweis, dass Kontrollen auch unter Belastung funktionieren. Komplexe Plattformen stützen sich auf weitverzweigte Microservices, Integrationen mit Drittanbietern und große Teams. Die Risikolage kann sich schnell verändern. Regelmäßige, von Checklisten geprägte Zertifizierungszyklen können praktische Schwachstellen übersehen, die erst im laufenden Betrieb sichtbar werden, etwa langfristig gültige Zugriffstoken, Lücken bei der Serverauthentifizierung oder eine unvollständige Zusammenführung von Protokolldaten aus verschiedenen Umgebungen.

Andere Rechtsordnungen zeigen, wie Sanktionen und Prävention zusammenspielen. Die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) schreibt Datenschutz durch Technikgestaltung und die Meldung von Datenpannen innerhalb von 72 Stunden vor. Sie erlaubt Geldbußen von bis zu vier Prozent des weltweiten Umsatzes. In den Vereinigten Staaten hat die Federal Trade Commission hohe Strafen gegen Unternehmen verhängt, die Nutzerdaten unsachgemäß behandelt oder Verbraucher getäuscht haben. Japan verschärfte nach aufsehenerregenden Vorfällen seine Vorschriften auf Grundlage des Gesetzes zum Schutz personenbezogener Daten und führte strengere interne Zugriffsregeln und Prüfungen ein. Südkoreas System gilt weithin als streng. Wiederholte schwere Vorfälle zeigen jedoch, dass Durchsetzung, Überwachung und Prävention mit den sich rasch wandelnden Angriffsmethoden und Insider-Risiken Schritt halten müssen.

Vergleich mit früheren Datenlecks in Südkorea

Südkorea war in den vergangenen zwei Jahrzehnten von mehreren schwerwiegenden Datenlecks betroffen. 2011 stahlen Hacker Daten von rund 35 Millionen Konten bei einem großen sozialen Netzwerk und Portal. 2014 gingen bei Kreditkartenunternehmen Daten von mehreren zehn Millionen Kunden verloren, darunter Einwohnerregisternummern und Kartendaten. Frühere Fälle betrafen Online-Marktplätze und Energieunternehmen. In den vergangenen Jahren meldeten auch Mobilfunkanbieter Datenlecks. Bei einem jüngsten Vorfall bei einem führenden Telekommunikationsanbieter waren mehr als 23 Millionen Nutzer betroffen. Für Verstöße gegen Datenschutzgesetze wurde dabei die bislang höchste Geldbuße verhängt.

Der Fall Coupang fällt sowohl durch sein Ausmaß als auch durch die mutmaßliche Rolle eines ehemaligen Insiders auf. Er ereignet sich zudem nach einer Reihe kleinerer Zwischenfälle beim Unternehmen, was die öffentliche Sorge darüber verstärkt, ob die angekündigten Sicherheitsverbesserungen tatsächlich umgesetzt wurden. Das Zusammenspiel aus Umfang, Dauer und Insiderwissen über die Systeme stellt sowohl die Unternehmensführung als auch den nationalen Datenschutzrahmen auf eine harte Probe.

Was Kunden jetzt tun können

Coupang zufolge gibt es keine Hinweise darauf, dass Zahlungsdaten oder Passwörter offengelegt wurden. Dennoch führen große Datenlecks oft zu Betrugsversuchen, bei denen Namen, Telefonnummern, Adressen und Bestelldaten ausgenutzt werden. Einige einfache Maßnahmen senken das Risiko und helfen Ihnen, rasch zu reagieren, falls Sie ins Visier geraten.

• Seien Sie bei unerwarteten Anrufen, SMS und E-Mails vorsichtig, besonders wenn darin Zahlungen, Einmalcodes oder Kontodaten verlangt werden.
• Klicken Sie nicht auf Links in Liefer- oder Kontonachrichten. Öffnen Sie die offizielle App oder geben Sie die Website-Adresse selbst ein.
• Aktivieren Sie für Ihre Konten die Zwei-Faktor-Authentifizierung, sofern sie verfügbar ist.
• Prüfen Sie Ihre Kontoaktivitäten und Ihr Adressbuch für Lieferungen auf Änderungen, die Sie nicht vorgenommen haben.
• Verwenden Sie einen Passwortmanager und nutzen Sie Passwörter nicht für mehrere Konten aus den Bereichen Einkauf, E-Mail und Banking wieder.
• Seien Sie vorsichtig bei Aufforderungen, Fernwartungssoftware auf Ihrem Smartphone oder Computer zu installieren.
• Wenden Sie sich über die offizielle App oder Website an den Kundendienst, wenn Sie verdächtige Nachrichten erhalten, die angeblich vom Unternehmen stammen.

Wenn Sie glauben, dass Ihre Daten missbraucht werden, melden Sie den Vorfall den Behörden und Ihrem Mobilfunkanbieter. Machen Sie Screenshots verdächtiger Nachrichten und notieren Sie Uhrzeiten und Telefonnummern. Eine schnelle Meldung hilft den Ermittlern, größere Muster zu erkennen und schädliche Domains und Rufnummern zu sperren.

Folgen für Unternehmen und Märkte

Große Datenlecks verursachen oft weit mehr Kosten als die technische Bereinigung. Unternehmen geben Geld für forensische Untersuchungen, Dienste zum Schutz vor Identitätsdiebstahl, den Umbau ihrer Systeme und den Kundendienst aus. Zugleich müssen sie sich mit regulatorischen Maßnahmen und Klagen auseinandersetzen. Die Folgen für den Ruf können lange anhalten, vor allem bei Plattformen, die auf wiederkehrende Käufe und eine starke Markenbindung angewiesen sind. Die Forderungen nach Rechenschaft werden bereits lauter. Die Datenschutzbehörden haben angekündigt, Sanktionen zu prüfen, falls Verstöße gegen die Vorschriften nachgewiesen werden.

Coupang ist in den Vereinigten Staaten börsennotiert und in Südkorea landesweit tätig. Daher steht das Unternehmen im Fokus mehrerer Aufsichtsbehörden und Investoren. Künftige Berichte und Briefings dürften sich auf Änderungen beim Zugriffsmanagement, beim Entzug von Zugangsdaten, bei der Serverüberprüfung und der Zusammenführung von Protokolldaten sowie auf die Verwaltung von Integrationen mit Drittanbietern konzentrieren. Anhaltende Investitionen in Personal, Prozesse und Technologie werden nötig sein, um Vertrauen wiederherzustellen und das Risiko zu verringern, dass eine Sicherheitslücke monatelang unentdeckt bleibt.

Das Wichtigste

• Personenbezogene Daten von 33,7 Millionen Coupang-Kundenkonten wurden offengelegt.
• Zu den geleakten Daten gehören Namen, Mobilfunknummern, E-Mail-Adressen, Lieferadressen und Teile der Bestellhistorie.
• In den offengelegten Daten wurden keine Zahlungskartendaten, Bankinformationen oder Anmeldepasswörter gefunden.
• Der unbefugte Zugriff begann wahrscheinlich im Juni und blieb bis Mitte November unentdeckt.
• Die Behörden untersuchen den Verdacht gegen einen ehemaligen Mitarbeiter und haben ein Notfallteam zusammengestellt.
• Das Ministerium für Wissenschaft und ICT hat vor strengen Sanktionen gewarnt, falls Verstöße gegen Datenschutzgesetze bestätigt werden.
• Coupang zufolge wurde der Zugriffsweg gesperrt und die interne Überwachung verstärkt.
• Kunden wurden aufgefordert, bei Anrufen, SMS und E-Mails vorsichtig zu sein, wenn sich Absender als das Unternehmen ausgeben.
• Der Fall hat die Debatte über die Wirksamkeit nationaler Sicherheitszertifizierungen wie ISMS-P verschärft.
• Das Datenleck übertrifft jüngste Vorfälle bei anderen großen Unternehmen und ist eines der größten, die in Südkorea gemeldet wurden.