Mit tárt fel valójában a Coupang incidens: 37 millió felhasználó és a számuk tovább nő

Dél-Korea Személyes Adatvédelmi Bizottsága (PIPC) rekordösszegű, 624,6 milliárd won, azaz mintegy 409 millió dollár bírságot szabott ki a Coupangra, az ország legnagyobb e-kereskedelmi platformjára. A koreai Coupang adatszivárgási bírsága mostantól az ország történetének legnagyobb adatvédelmi büntetése, és egyben Ázsia egyik legmagasabb összege.

Az incidens több mint 33 millió regisztrált Coupang-tagot és további 4,3 millió nem regisztrált felhasználót érintett, így az érintettek száma meghaladja a 37 milliót. Összehasonlításképpen: Dél-Korea lakossága hozzávetőleg 52 millió fő, vagyis az ügy az ország felnőtt lakosságának jelentős részét érintette. A kiszivárgott adatok állítólag személyazonosítókat, elérhetőségeket és vásárlási előzményeket tartalmaztak – pontosan azokat az információkat, amelyek elegendő alapot adnak a rosszindulatú szereplőknek adathalász-támadások, hitelesítőadat-feltöltéses támadások és személyazonosság-lopás végrehajtásához.

A Coupang bejelentette, hogy jogi úton kíván fellépni a bírság ellen, ami évekig elhúzódó szabályozási vita alapjait fekteti le. A vállalat vitatja mind a büntetés mértékét, mind az alapjául szolgáló megállapításokat – egyre gyakoribb reakció ez olyankor, amikor a szabályozók kilenc számjegyű adatvédelmi bírságokat szabnak ki.

Hogyan viszonyul a koreai bírság a GDPR és az USA tagállami büntetéseihez?

A büntetés mértéke azonnali összehasonlításra késztet az európai és észak-amerikai jogérvényesítési intézkedésekkel. Az Európai Unió általános adatvédelmi rendelete (GDPR) alapján a maximális bírság a vállalat globális éves árbevételének 4 százaléka. A PIPC Coupang elleni fellépése azt sugallja, hogy a dél-koreai szabályozók hajlandóak úgy kalibrálni a büntetéseket, hogy azok valóban visszatartsák a nagy platformokat, ahelyett hogy jelképes csuklóra ütéseket alkalmaznának.

Az Egyesült Államokban a kép széttagoltabb. A szövetségi szintű érvényesítés az FTC révén általában lassabb és tárgyalásosabb. Az állami szintű fellépés azonban felgyorsult. Az USA tagállami adatvédelmi bírságai 2025-ben rekordnak számító 3,425 milliárd dollárt értek el, meghaladva az előző öt év együttes összegét, ami tükrözi azt a tágabb globális elmozdulást, amely az adatkezelési hibákat nem megfelelőségi lábjegyzetként, hanem komoly pénzügyi kötelezettségként kezeli.

A koreai Coupang-bírság azért kiemelkedő, mert egy hazai piacvezetővel szemben szabták ki, nem pedig egy külföldi technológiai óriáscég ellen. Az európai szabályozók a múltban a legnagyobb bírságokat amerikai székhelyű cégekre, például a Metára és a Google-ra rótták ki. Amikor egy ország saját zászlóshajó e-kereskedelmi platformja rekordbüntetést kap, az azt jelzi, hogy a jogérvényesítés túllép a külföldi cégeket célzó, figyelemfelkeltő eseteken, és kezd kiforrni.

Miért támadják meg a cégek rutinszerűen a rekord adatvédelmi bírságokat, és mi következik ezután?

A Coupang döntése, hogy megtámadja a bírságot, nem meglepő. A jelentős szabályozói büntetések bírósági úton történő vitatása bevett vállalati gyakorlat, részben az alábbi okokból. Először is, késlelteti a pénzügyi hatást, amíg a peres eljárás tart. Másodszor, a cégek néha sikeresen csökkentik a végösszeget, akár mert a bíróságok eljárásjogi okokból egyetértenek velük, akár mert a peren kívüli tárgyalások alacsonyabb számot eredményeznek. Harmadszor, maga a jogi fellépés jelzi a részvényesek és az üzleti partnerek felé, hogy a menedzsment visszavág, ahelyett hogy elfogadná a felelősséget.

Ez a minta ismétlődően megfigyelhető a nagy port kavaró adatvédelmi ügyekben. A Kalifornia által a 23andMe ellen indított per után, amely 7 millió felhasználó genetikai adatait érintő szivárgás miatt indult, a bírósági eljárás jóval túlnyúlt az eredeti bejelentésen, a végső megoldás pedig csődeljárást és eszközértékesítést jelentett, nem pedig egyszerű bírságfizetést.

A szabályozók számára a vitatott bírságok is szolgálnak célt. Még ha a Coupang végül csökkentett összeget fizet is, a főcímben szereplő szám jelzést küld a Koreában működő többi nagy platformnak, hogy a jelentős adatkezelési hibák valós pénzügyi kockázattal járnak. Az ilyen mértékű nyilvános bírság reputációs költsége is elrettentő erővel bír a végső jogi kimeneteltől függetlenül.

Milyen lépéseket tehetnek az adatvédelemre érzékeny felhasználók egy nagyméretű kiskereskedelmi adatszivárgás után?

Ha Ön is azon 37 millió személy között van, akinek adatai a Coupang szivárgás során nyilvánosságra kerültek, vagy ha egyszerűen csak egy ilyen nagy horderejű eset után újraértékeli a kitettségét, van néhány konkrét lépés, amelyet érdemes azonnal megtennie.

Változtassa meg jelszavait. Ha ugyanazt a jelszót használja több szolgáltatásban, egy kereskedőnél bekövetkező adatszivárgás minden fiókban kockázatot teremt. Használjon jelszókezelőt, hogy egyedi, komplex jelszavakat tartson fenn minden egyes fiókhoz.

Kapcsolja be a többfaktoros hitelesítést. Még ha a jelszava nyilvánosságra is került, az MFA jelentősen megnehezíti a támadók számára, hogy lopott hitelesítő adatokkal férjenek hozzá a fiókjaihoz.

Kövesse figyelemmel pénzügyi számláit. A kiskereskedelmi szivárgások gyakran tartalmaznak vásárlási előzményeket és néha részleges fizetési adatokat is. Az elkövetkező hetekben tekintse át bank- és kártyakivonatait szokatlan tranzakciók után kutatva.

Legyen óvatos az adathalász kísérletekkel szemben. A támadók, akik megszerezték az elérhetőségeit a szivárgott adatbázisokból, gyakran meggyőző adathalász e-mailekkel vagy szöveges üzenetekkel követik az eseményeket. Legyen szkeptikus az olyan váratlan üzenetekkel szemben, amelyek arra kérik, hogy ellenőrizze fiókadatait, különösen, ha sürgető érzést keltenek.

Kérje ki az adatait. Számos joghatóságban – Dél-Koreában a Személyes Adatvédelmi Törvény alapján is – az egyéneknek joguk van megismerni, hogy a cég milyen adatokat tárol róluk, és kérhetik azok törlését. Ha Coupang-felhasználó, ez a jog fennáll, függetlenül a folyamatban lévő jogvitától.

Mit jelent ez Önnek?

A koreai Coupang adatszivárgási bírság nem csupán egy vállalatról vagy egy országról szóló történet. Része annak a tágabb elmozdulásnak, amelyben a kormányok védett értékként kezelik a személyes adatokat, valós kikényszerítő eszközökkel. Akár vásárol koreai platformokon, akár nem, a trend egyértelmű: a szabályozók világszerte növelik a tétet azon cégek számára, amelyek nem védik meg a felhasználók adatait.

A legjobb időpont arra, hogy áttekintse saját digitális lábnyomát, most van, még mielőtt a következő szivárgás bekövetkezne, nem pedig utána. Az Önre vonatkozó adatvédelmi törvények szerinti jogainak megértése gyakorlati kiindulópont. Ha pedig tágabb képet szeretne kapni arról, merre tart a jogérvényesítés a saját környezetében, az Egyesült Államok tagállami szintű adatvédelmi bírságainak emelkedéséről szóló adatok hasznos keretet nyújtanak annak megértéséhez, merre mutat a szabályozási lendület.