酷澎韓國個資外洩案 韓官方調查：無造成消費者財損
韓國政府調查酷澎個資外洩案，報告出爐。（彭博）
〔記者歐宇祥／台北報導〕國際電商巨頭酷澎（Coupang）去年底爆出個資大規模外洩，當時傳高達3370萬筆個資遭駭。不過韓國公平會近日公告調查結果，官方定調，並無證據顯示酷澎造成消費者財務損失。
去年11月左右，酷澎接獲用戶通報可疑電子郵件後啟動內部調查，並在發現異常後向主管機關通報，韓國政府由科學技術資訊通信部主導，啟動資安調查。
根據韓國政府主導的調查指出，本案並非外部駭客入侵，而是由一名前任中國籍開發工程師，利用其在職期間掌握的系統架構與簽章金鑰知識，偽造電子出入憑證並繞過登入流程，進入部分帳號頁面。韓國官方因此認定，此屬利用內部知識發動的高度技術性攻擊行為，並且是由特定個人針對既有系統架構進行之攻擊。
在資料影響範圍方面，韓國官方調查團分析逾25.6TB、超過6600億筆日誌後確認，外洩內容主要涉及姓名、電子郵件、部分配送資訊與訂單瀏覽紀錄，未包含信用卡卡號或銀行帳戶等金融敏感資料。雖然配送地址頁面曾被大量瀏覽，部分大樓共用部分之門禁密碼亦遭到查閱，但經對攻擊者設備進行數位鑑識，目前尚無證據顯示資料已被實際對外傳輸或利用。
基於上述調查結果，主管電商消費者保護者保護事務的韓國公平交易委員會在向韓國國會報告時明確表示，本案尚無證據顯示消費者已發生或即將發生財產損害，依《電子商務等消費者保護法》相關構成要件，並不符合命令停業的法律標準。
文化大學法律學系教授、前資策會科技法律研究所所長王偉霖分析，依韓國《電子商務法》第11條規定，主管機關通常須先確認個資外洩已造成或高度可能造成消費者財產損失，且業者未採取必要防護或補救措施，始得命其限期改正；僅在業者拒不改正，或情況顯示難以防止損害擴大時，才可能進一步採取停業等較為嚴厲的行政處分。
不過，韓國政府報告亦點出，酷澎在資安治理上仍有精進空間，包括簽章金鑰管理不夠嚴謹、模擬駭客測試後未全面檢討系統架構，以及事故通報時間未完全符合
法定24小時規定；主管機關已表示，將依法裁處罰鍰，並要求公司提出再發防止計畫，接受後續履行查核。
對酷澎而言，韓國調查報告也凸顯，大型數位平台在內部金鑰管理與權限分離機制上，必須自我要求達到更高標準；另一方面，報告亦定調，此個資外洩案並非企業「販售個資」或「放任資料外洩」的情形，而是個人利用既有系統架構與其專業知識所實施之技術型犯罪行為。
在電商競爭激烈、韓國國會議員嚴格質詢，以及美韓關係帶有政治敏感性的多重背景下，酷澎逐步走出勒令停業威脅的風暴，未來酷澎如何落實更完善的監控機制、金鑰輪替制度與日誌管理措施，將成為市場觀察的重點。
