Ocupan, la principal plataforma de comercio electrónico de Corea del Sur, ha anunciado que ha identificado al responsable de una filtración masiva de datos que afectó a más de 33 millones de clientes. El incidente se produjo en noviembre y, según la empresa, la información no fue compartida con terceros.
La investigación interna concluyó que el autor fue un antiguo empleado, que accedió de forma indebida a los sistemas de la compañía. Coupang ha comunicado que el alcance real del acceso fue inferior al inicialmente estimado.
La empresa ha trasladado estos resultados a las autoridades competentes.
Resultados de la investigación interna
Coupang ha detallado que el exempleado almacenó únicamente unas 3.000 cuentas, que posteriormente fueron eliminadas. Para la investigación, la compañía contó con el apoyo de expertos en ciberseguridad de Mandiant, Palo Alto Networks y Ernst & Young.
Según la empresa, el acceso no derivó en la difusión externa de los datos ni en usos comerciales indebidos. Coupang sostiene que el impacto para los usuarios fue limitado.
Método de acceso y destrucción de pruebas
Tras ser identificado, el ex empleado confesó el acceso no autorizado y explicó que utilizó claves de acceso robadas. La empresa ha indicado que no se vieron comprometidos datos sensibles, como información de pago, aunque sí credenciales de acceso de clientes.
El autor intentó ocultar las pruebas, arrojando su ordenador portátil a un río. El dispositivo fue recuperado posteriormente por buzos tras las indicaciones facilitadas durante el interrogatorio.
Además, eliminó información almacenada en otro equipo de su propiedad.
Reacción del Gobierno y situación legal
El Gobierno de Corea del Sur ha calificado la comunicación de Coupang como una «afirmación unilateral» y ha señalado que los resultados de su propia investigación aún no han sido verificados. El Ministerio de Ciencia y Tecnología ha confirmado que el proceso sigue abierto.
Coupang, que cotiza en Estados Unidos, afronta demandas colectivas en EE.UU. y Corea del Sur. La Policía ha realizado registros en su sede central en Seúl, mientras que la Presidencia surcoreana ha exigido responsabilidades y compensaciones para los afectados.
