Утечка данных, которая потрясла «Южнокорейский Amazon»

Интернет-магазин Coupang, известный как южнокорейский Amazon, заработал свою репутацию благодаря своей ночной службе «ракетной доставки», но он гораздо медленнее реагировал на взлом, в результате которого произошла утечка личной информации почти двух третей населения страны.

Купанг заявила, что самая серьезная утечка данных в Южной Корее началась через ее зарубежные серверы в июне, но стало известно об этом только в ноябре. Генеральный директор компании подал в отставку на этой неделе, но Бом Ким, ее корейско-американский основатель и председатель, до сих пор не принес никаких личных извинений.

По данным полиции, в результате взлома была скомпрометирована личная информация, включая имена и номера телефонов, а также адреса электронной почты и доставки, более чем 33 миллионов активных и бывших пользователей.

Президент Ли Джэ Мён назвал этот случай тревожным звонком для усиления кибербезопасности, назвав «удивительным», что Coupang, крупнейший интернет-магазин Южной Кореи по доле рынка, не обнаружил нарушения в течение пяти месяцев.

«Неправильная практика пренебрежения необходимой заботой о защите персональных данных, которые являются ключевым активом в эпоху искусственного интеллекта и цифровизации, должна быть полностью изменена», — заявил Ли на прошлой неделе.

Coupang, которая может похвастаться 25 миллионами активных пользователей и предлагает услуги, начиная от доставки еды и заканчивая потоковым вещанием, заявила, что ей еще предстоит установить полную информацию о причине и масштабах взлома.

Но бывший генеральный директор Пак Дэ Чжун заявил на парламентских слушаниях за неделю до своей отставки, что за атакой стоял бывший разработчик программного обеспечения.

Пак сказал, что предполагаемый преступник был гражданином Китая, участвовавшим в задачах по аутентификации в Купанге до того, как его контракт закончился в декабре прошлого года, и предположительно он вернулся в Китай.

Директор по информационной безопасности Coupang Бретт Маттес показал, что предполагаемый преступник занимал «привилегированную роль» в компании, которая давала ему доступ к частному ключу шифрования, который позволял ему генерировать поддельный токен, чтобы выдать себя за клиента.

Чой Мин Хи, член Национальной ассамблеи Южной Кореи, заявила в своем заявлении, что бывшая сотрудница использовала ключ, который все еще был активен даже после того, как он покинул компанию, для доступа к информации о клиентах, ссылаясь на информацию, которую она получила от Coupang.

Coupang заявил, что взлом не затронул учетные данные пользователей, номера кредитных карт и платежные реквизиты, но чиновники и законодатели предупредили, что граждане могут быть уязвимы для целевых фишинговых атак с использованием утекшей информации. «Это похоже на то, что ключи почти от каждого дома в Корее украдены», – сказал член Национальной ассамблеи Чхве Хён Ду.

В заявлении для Financial Times компания сообщила, что, узнав о взломе 18 ноября, она немедленно сообщила об этом властям, заблокировала путь несанкционированного доступа и усилила внутренний мониторинг. В нем заявили, что «значительно повысят нашу информационную безопасность, чтобы предотвратить повторения ситуации, и сделают все возможное, чтобы восстановить доверие».

Но законодатели раскритиковали Купанга за то, что, по их словам, это отсутствие осторожности и медленная реакция. Они требуют, чтобы основатель и председатель Ким вышел вперед и извинился. Его вызвали на вторые парламентские слушания на следующей неделе.

Ли Хун-ки, депутат на слушаниях на прошлой неделе, предположил, что Coupang был «небрежным» в вопросах безопасности, поскольку он быстро расширялся. Компания была основана в 2010 году как веб-сайт, предлагающий сделки групповым покупателям. За последнее десятилетие ее доходы выросли более чем в 30 раз до $30,2 млрд в прошлом году. В 2015 году компания получила инвестиции в размере 3 млрд долларов от SoftBank и прошла листинг на Нью-йоркской бирже в 2021 году после того, как пандемия Covid-19 еще больше усилила рост.

Эксперты по кибербезопасности заявили, что Coupang был далеко не одинок: несколько громких случаев способствовали тому, что, по их ожиданиям, год стал худшим для Южной Кореи с точки зрения крупномасштабных утечек данных.

SK Telecom, крупнейший оператор мобильной связи страны, в этом году был оштрафован на 97 миллионов долларов за утечку информации о 25 миллионах клиентов. Конкурент телекоммуникационной компании KT и поставщик кредитных карт Lotte Card также сообщили об утечках данных.

Upbit, ведущая криптовалютная биржа страны, в прошлом месяце подверглась хакерской атаке, которая привела к несанкционированному выводу 44,5 млрд вон (30 млн долларов США) в криптовалюте.

Ли Чан-джин, глава Службы финансового надзора, заявил, что инвестиции южнокорейских компаний в кибербезопасность остаются «ужасно недостаточными» по сравнению с такими странами, как США.

Саймон Чой, технический директор стартапа по кибербезопасности StealthMole, сказал, что предприятия должны рассматривать оплату защиты данных как страховку.

«Если вы поговорите с руководителями крупных компаний, они часто скажут, что существует слишком много проблем в автономном режиме, о которых нужно заботиться, поэтому кибербезопасность часто отходит на второй план», — сказал он. «Они стараются инвестировать с большим опозданием, когда происходят серьезные инциденты, но предотвращение более важно».

Кан Хун Сик, руководитель администрации президента, заявил на встрече с высокопоставленными чиновниками администрации, что крупные утечки данных в последние годы показали «структурные лазейки» в защите личной информации Южной Кореи, а дело Купанга дало возможность улучшить систему штрафных санкций в стране.

Законодатели призвали Coupang, объем продаж которой в прошлом году составил 41 трлн вон, выплатить 1,2 трлн вон в виде штрафов в соответствии с законом, который позволяет компаниям, не реализующим адекватные меры по защите данных, быть оштрафованы на сумму до 3 процентов от их доходов.

Закон страны о защите личной информации также допускает штрафные санкции, в пять раз превышающие реальный вред, если утечка личных данных произошла из-за умышленного неправомерного действия или грубой халатности.

Но положение, введенное в 2015 году после утечек, связанных с компаниями-эмитентами кредитных карт, и правило 3 процентов редко соблюдались.

«Американским компаниям придется заплатить огромный ущерб, если они проиграют коллективные иски из-за утечки данных», — сказал Ви Чон Хён, профессор бизнеса в Университете Чунг-Анг в Сеуле. «Но корейские компании этого не боятся, потому что штрафы слабые, а случаев коллективных судебных исков мало».

Трекер рынка IGAWorks сообщил, что утечка данных привела к тому, что число ежедневных активных пользователей Coupang сократилось примерно на 2 миллиона до 16 миллионов. Аналитики JPMorgan заявили в заметке, что уход клиентов, скорее всего, будет «ограниченным», ссылаясь на «непревзойденное положение компании на рынке и то, что корейские клиенты, по-видимому, менее чувствительны к проблемам утечки данных», чем потребители в других местах.

По данным Министерства данных и статистики, в прошлом году Coupang контролировала 22,7% местного рынка электронной коммерции, за ней следовала Naver с 20,7%.

Но Чон Да Хе, 45-летняя офисная сотрудница из Сеула, сказала, что недавно она вышла из платного членства Coupang, чтобы выразить свой гнев по поводу инцидента.

«Мне нравится доставка свежих продуктов Coupang на рассвете, но мне очень обидно видеть реакцию компании на утечку данных», — сказала она. “Они зарабатывают все свои деньги здесь, в Корее, но Бом Ким не появляется, чтобы извиниться. Никто не берет на себя ответственность”.