Quy mô vụ rò rỉ
Hôm thứ Ba, Bộ Khoa học và Công nghệ thông tin Hàn Quốc xác nhận 33,67 triệu hồ sơ người dùng đã bị xâm phạm trong một vụ rò rỉ dữ liệu quy mô lớn tại Coupang, nền tảng thương mại điện tử thống lĩnh thị trường trong nước và là công ty niêm yết trên Nasdaq. Con số này tương đương khoảng hai phần ba dân số Hàn Quốc, ở mức 51 triệu người, đưa đây trở thành một trong những vụ rò rỉ dữ liệu người tiêu dùng lớn nhất trong lịch sử nước này, ảnh hưởng đến một bộ phận đáng kể dân số thường xuyên hoạt động trên môi trường số.
Nội dung
Cuộc điều tra cho thấy một cựu nhân viên đã khai thác lỗ hổng xác thực để truy cập tên và địa chỉ email của hàng triệu người dùng. Ngoài thông tin tài khoản ban đầu, kẻ tấn công đã truy cập các trang danh sách giao hàng 148 triệu lần, có khả năng làm lộ tên, số điện thoại, địa chỉ nhà và thậm chí cả mật khẩu vào sảnh chung cư đã được ẩn danh. Coupang cho phép người dùng lưu tối đa 20 địa chỉ giao hàng cho mỗi tài khoản, nên tổng lượng dữ liệu vị trí bị xâm phạm thực tế có thể vượt xa số tài khoản cơ bản, có khả năng ảnh hưởng đến người thân và người quen của chủ tài khoản.
Choi Woo-hyuk, người đứng đầu văn phòng chính sách an ninh mạng và mạng lưới của bộ, đã trình bày các kết quả này tại một buổi họp báo của chính phủ ở Seoul. Xác nhận được đưa ra gần ba tháng sau khi Coupang lần đầu phát hiện vụ xâm nhập vào ngày 17 tháng 11 năm 2025, đồng thời đánh dấu mức độ nghiêm trọng tăng đáng kể so với những tuyên bố ban đầu của công ty. Việc chậm xác nhận công khai làm dấy lên suy đoán rằng thông báo bị trì hoãn do lo ngại sức ép thương mại từ Mỹ và những cáo buộc của các chính trị gia Mỹ rằng chính phủ Hàn Quốc phân biệt đối xử với các công ty Mỹ. Nhóm điều tra đã thẳng thừng bác bỏ những cáo buộc này.
Nhóm điều tra nhấn mạnh họ chưa bao giờ đi chệch khỏi các nguyên tắc pháp lý và không đối xử khác biệt với bất kỳ công ty nào, đồng thời tuân thủ các tiêu chuẩn công bố nhanh chóng, minh bạch khi có kết quả. Tuyên bố này nhằm giải đáp những lo ngại ngày càng tăng rằng vụ việc có thể bị chi phối bởi các cân nhắc ngoại giao thay vì yêu cầu quản lý.
Diễn biến vụ tấn công
Vụ rò rỉ bắt nguồn từ bên trong tổ chức. Các nhà điều tra xác định kẻ tấn công là một cựu nhân viên Coupang từng phát triển phần mềm xác thực người dùng trong thời gian làm việc tại công ty. Theo phân tích của chính phủ, người này đã đánh cắp khóa ký từ một hệ thống xác thực, tiến hành thử nghiệm tấn công sơ bộ trong khoảng từ ngày 5 đến ngày 20 tháng 1 năm 2025, sau đó triển khai các công cụ thu thập dữ liệu tự động trên web để trích xuất dữ liệu một cách có hệ thống.
Khoảng thời gian tấn công kéo dài từ ngày 14 tháng 4 đến ngày 8 tháng 11 năm 2025, cho phép thủ phạm hoạt động gần bảy tháng mà không bị phát hiện. Bằng khóa ký bị đánh cắp, cựu nhân viên này đã làm giả thứ mà giới chức gọi là thẻ truy cập điện tử, hoàn toàn qua mặt quy trình đăng nhập tiêu chuẩn. Phương thức này giúp người đó tiếp tục truy cập các dịch vụ của Coupang ngay cả sau khi rời công ty.
Lee Dong-geun, người đứng đầu Ban Ứng phó với Mối đe dọa số thuộc Cơ quan Internet và An ninh Hàn Quốc, cho biết các nhà điều tra phát hiện những nhà phát triển hiện tại của Coupang lưu khóa ký trên máy tính xách tay cá nhân, trái với quy định nội bộ yêu cầu các thông tin xác thực này phải được lưu trong hệ thống quản lý. Cách làm này đã tạo ra lỗ hổng dẫn đến vụ rò rỉ.
Kẻ tấn công truy cập trang Chỉnh sửa thông tin cá nhân để thu thập 33.673.817 hồ sơ chứa tên và địa chỉ email. Ngoài ra, trang danh sách địa chỉ giao hàng bị truy cập 148,05 triệu lần, trong khi trang danh sách đơn hàng ghi nhận khoảng 100.000 lượt xem trái phép. Các nhà điều tra xác nhận kẻ tấn công có các hệ thống có khả năng truyền dữ liệu đến máy chủ đám mây ở nước ngoài, dù họ không thể xác minh việc truyền dữ liệu đó có thực sự diễn ra hay không.
Kết luận của chính phủ
Giới chức Hàn Quốc đưa ra đánh giá gay gắt về tình hình an ninh của Coupang. Choi Woo-hyuk mô tả sự việc là một thất bại rõ ràng trong quản lý, chứ không phải một cuộc tấn công tinh vi từ bên ngoài. Nhóm điều tra phát hiện những thiếu sót nghiêm trọng trong việc quản lý hệ thống xác thực và kiểm soát khóa ký.
Đây là thất bại rõ ràng trong quản lý của Coupang, không phải một cuộc tấn công tinh vi. Nhóm điều tra phát hiện những thiếu sót trong việc quản lý hệ thống xác thực và khóa ký.
Cuộc điều tra phát hiện nhiều vi phạm quy định. Coupang không báo cáo vụ rò rỉ trong thời hạn bắt buộc 24 giờ, mà thông báo cho cơ quan chức năng vào ngày 19 tháng 11 thay vì ngày 18 tháng 11 theo quy định. Nghiêm trọng hơn, công ty bị cho là đã vi phạm lệnh bảo toàn dữ liệu ban hành ngày 19 tháng 11. Dù được yêu cầu lưu giữ chứng cứ, Coupang không điều chỉnh chính sách tự động lưu nhật ký, khiến nhật ký truy cập web từ tháng 7 đến tháng 11 năm 2024 và nhật ký truy cập ứng dụng từ ngày 23 tháng 5 đến ngày 2 tháng 6 năm 2025 bị xóa.
Bộ thông báo kế hoạch áp dụng khoản phạt hành chính đối với vi phạm báo cáo chậm, có thể lên tới 30 triệu won. Ngoài ra, giới chức đề nghị cơ quan thực thi pháp luật điều tra khả năng cản trở quá trình điều tra liên quan đến việc tiêu hủy chứng cứ. Coupang hiện phải nộp các biện pháp phòng ngừa cho bộ trước cuối tháng này; việc triển khai dự kiến diễn ra từ tháng 3 đến tháng 5, sau đó chính phủ sẽ thanh tra trong tháng 6 và tháng 7.
Lời biện hộ của Coupang và thực tế
Trong suốt cuộc điều tra, Coupang khẳng định dù 33,7 triệu tài khoản bị ảnh hưởng về mặt kỹ thuật, thiệt hại thực tế là có hạn. Công ty cho biết, dựa trên lời khai của kẻ tấn công, chỉ khoảng 3.000 hồ sơ được lưu trên ổ cứng của thủ phạm rồi sau đó bị xóa. Quan điểm này vấp phải chỉ trích gay gắt từ cơ quan quản lý và những người bảo vệ quyền riêng tư, những người cho rằng đây là nỗ lực giảm nhẹ thiệt hại về mặt quản lý và uy tín.
Choi Woo-hyuk đã trực tiếp bác bỏ cách diễn giải này trong buổi họp báo. Ông nhấn mạnh rằng theo các tiêu chuẩn bảo vệ dữ liệu của Hàn Quốc, việc truy cập trái phép vào các trang thông tin cá nhân cấu thành một vụ rò rỉ dữ liệu, bất kể dữ liệu được lưu tại chỗ hay truyền đi nơi khác.
Gọi đó là truy cập không có nghĩa trách nhiệm sẽ nhẹ hơn. Con số 3.000 hồ sơ chỉ là tuyên bố của công ty và chỉ được dùng làm thông tin tham khảo. Chúng tôi đã tự xác minh toàn bộ tài liệu. Chúng tôi kiểm tra máy chủ Coupang để xác định lượng dữ liệu mà kẻ tấn công bên ngoài đã truy cập và lượng dữ liệu bị rò rỉ.
Đại diện Coupang phản hồi các kết quả của chính phủ bằng cách giữ nguyên quan điểm rằng 148 triệu lượt truy cập vào trang danh sách giao hàng không phản ánh quy mô thông tin bị rò rỉ. Người phát ngôn cho rằng đây là những nỗ lực thu thập dữ liệu cá nhân riêng lẻ liên quan đến 33,7 triệu tài khoản, chứ không phải bằng chứng cho thấy có 148 triệu vụ xâm phạm dữ liệu riêng biệt. Tuy nhiên, giới chức chính phủ phản bác rằng số lượng yêu cầu truy cập khổng lồ cho thấy kẻ tấn công có khả năng thu thập hồ sơ người dùng toàn diện.
Sự khác biệt này cho thấy doanh nghiệp và cơ quan quản lý có cách định nghĩa cơ bản khác nhau về rò rỉ dữ liệu. Trong khi Coupang tập trung vào việc xác nhận kẻ tấn công đã lưu trữ dữ liệu, giới chức coi mọi hành vi xem trái phép thông tin cá nhân đều là một vụ rò rỉ, nhất là khi có thêm bằng chứng về các hệ thống được thiết kế để truyền dữ liệu ra nước ngoài.
Hệ lụy địa chính trị và sức ép pháp lý từ Mỹ
Vụ rò rỉ đã vượt khỏi phạm vi một sự cố an ninh mạng trong nước, trở thành vấn đề song phương đáng chú ý giữa Hàn Quốc và Mỹ. Là công ty niêm yết tại Mỹ với sự hậu thuẫn đáng kể từ các nhà đầu tư Mỹ, Coupang thu hút sự chú ý của các nhà lập pháp Mỹ, những người cho rằng phản ứng quản lý mạnh tay của Hàn Quốc có thể là hành động nhắm mục tiêu phân biệt đối xử với một doanh nghiệp Mỹ.
Quyền Giám đốc điều hành Harold Rogers đang chịu sức ép pháp lý gia tăng trên nhiều mặt trận. Cảnh sát Hàn Quốc đã thẩm vấn ông Rogers khoảng 12 giờ về cáo buộc khai man liên quan đến lời khai về vụ rò rỉ. Cùng lúc, Ủy ban Tư pháp Hạ viện Mỹ đã triệu tập ông Rogers ra điều trần vào ngày 23 tháng 2 năm 2026 về sự việc. Cuộc điều tra của Quốc hội xem xét liệu các cơ quan quản lý Hàn Quốc có đang áp đặt gánh nặng bất công lên các công ty niêm yết tại Mỹ hay không.
Tại tòa án liên bang ở New York, một vụ kiện tập thể yêu cầu Coupang bồi thường mang tính trừng phạt, với cáo buộc công ty bảo vệ dữ liệu không đầy đủ và công bố thông tin sai lệch về phạm vi vụ rò rỉ. Vụ kiện đại diện cho các nhà đầu tư và người dùng cho rằng họ chịu thiệt hại do những lỗ hổng an ninh và việc công ty sau đó giảm nhẹ mức độ nghiêm trọng của sự việc.
Một số công ty đa quốc gia hoạt động tại Seoul đã kín đáo cảnh báo rằng phản ứng có sự tham gia của nhiều cơ quan chính phủ, gồm chín cơ quan và hàng trăm quan chức, là chưa từng có tiền lệ so với cách xử lý các doanh nghiệp trong nước. Họ viện dẫn vụ rò rỉ năm 2025 tại SK Telecom ảnh hưởng đến 27 triệu hồ sơ nhưng không kéo theo các cuộc điều tra tương đương, coi đó là bằng chứng về sự đối xử khác biệt. Tuy nhiên, Bộ Khoa học và Công nghệ thông tin kiên quyết phủ nhận việc đi chệch khỏi các nguyên tắc pháp lý, khẳng định Coupang được đối xử giống như bất kỳ công ty nào khác đối mặt với những vi phạm tương tự.
Tổng thống Lee Jae-myung đã công khai cam kết đưa Hàn Quốc trở thành điểm đến đầu tư tốt nhất thế giới, tạo ra thế giằng co giữa việc thể hiện sự thực thi nghiêm túc các quy định bảo vệ dữ liệu và duy trì điều kiện thuận lợi cho dòng vốn nước ngoài. Vụ Coupang giờ đây trở thành phép thử cho cách Seoul cân bằng giữa bảo vệ quyền riêng tư của người tiêu dùng và các mối quan hệ thương mại quốc tế.
Hệ quả quản lý và rủi ro kinh doanh
Ngoài các khoản phạt trực tiếp do báo cáo chậm, Coupang còn đối mặt với nguy cơ pháp lý nghiêm trọng. Ủy ban Thương mại Công bằng đã cảnh báo khả năng đình chỉ hoạt động kinh doanh, một biện pháp mạnh có thể khiến toàn bộ hoạt động của công ty phải dừng lại. Ủy ban cũng đang tiến hành kiểm toán thuế và đã tiếp nhận đơn khiếu nại trình quốc hội nhằm vào nhà sáng lập Bom Kim cùng các cựu lãnh đạo.
Vụ rò rỉ còn dẫn đến một thông báo riêng vào ngày 5 tháng 2 năm 2026, cho biết thêm 165.000 hồ sơ người dùng bị xâm phạm. Thông báo tiếp theo này khiến công chúng thêm phẫn nộ và củng cố nhận định rằng những đánh giá ban đầu của công ty đã đánh giá thấp thiệt hại.
Các nhà phân tích trong ngành nhận định vụ việc thiết lập những chuẩn mực tuân thủ mới cho các nền tảng tiêu dùng tại Hàn Quốc. Việc chính phủ trình bày chi tiết quá trình tái dựng vụ tấn công, bao gồm số lượt truy cập cụ thể và phân tích mốc thời gian, cho thấy ý định xây dựng các yêu cầu kiểm soát mang tính quy định áp dụng cho những công ty khác xử lý khối lượng lớn dữ liệu cá nhân.
Đối với người dùng Coupang, dữ liệu bị xâm phạm tạo ra những rủi ro an toàn hữu hình. Địa chỉ giao hàng, số điện thoại và mật khẩu vào sảnh tòa nhà có thể khiến khách hàng đối mặt với nguy cơ bị theo dõi, lừa đảo có chủ đích và các mối đe dọa an ninh thể chất. Khác với rò rỉ thẻ thanh toán, vốn có thể được các tổ chức tài chính giảm thiểu tác động bằng cách hủy thẻ và theo dõi giao dịch, địa chỉ và thông tin liên lạc vẫn nhạy cảm vĩnh viễn. Việc dữ liệu bao gồm cả địa chỉ của bên thứ ba, chẳng hạn người thân hoặc bạn bè được lưu trong tài khoản người dùng, khiến số người bị ảnh hưởng vượt ra ngoài nhóm khách hàng trực tiếp của Coupang.
Điểm chính
- Xác nhận 33,67 triệu tài khoản người dùng Coupang bị rò rỉ, ảnh hưởng đến khoảng hai phần ba dân số Hàn Quốc
- Một cựu nhân viên đánh cắp khóa ký xác thực và truy cập trái phép trong khoảng thời gian từ tháng 4 đến tháng 11 năm 2025
- Kẻ tấn công truy cập các trang danh sách giao hàng 148 triệu lần, có khả năng làm lộ địa chỉ, số điện thoại và mã vào sảnh tòa nhà
- Bộ Khoa học và Công nghệ thông tin coi sự việc là thất bại rõ ràng trong quản lý, đồng thời cáo buộc Coupang báo cáo chậm và tiêu hủy chứng cứ
- Quyền CEO Harold Rogers bị cảnh sát Hàn Quốc thẩm vấn và bị Quốc hội Mỹ triệu tập ra điều trần vào ngày 23 tháng 2 năm 2026
- Một vụ kiện tập thể tại Mỹ yêu cầu bồi thường mang tính trừng phạt tại tòa án liên bang New York
- Ủy ban Thương mại Công bằng đã cảnh báo khả năng đình chỉ hoạt động kinh doanh và đang tiến hành kiểm toán thuế
- Ngày 5 tháng 2 năm 2026, có thông báo riêng về 165.000 hồ sơ bị xâm phạm, ngoài vụ rò rỉ chính
- Coupang phải nộp các biện pháp phòng ngừa trước cuối tháng; chính phủ dự kiến thanh tra trong tháng 6 và tháng 7
