酷澎個資外洩數發部調查：離職員工持原金鑰入侵、三度稱未受影響

酷澎韓國個資外洩事件確認涉及逾20萬台灣用戶，遭非法讀取資料包含姓名、電子郵件、電話號碼、配送地址等。（路透）

〔記者邱巧貞／台北報導〕韓國電商平台酷澎（Coupang）於2025年11月爆發內部人員涉入的個資外洩事件，當時外界即關注是否波及海外市場。業者早先亦回報主管機關數位發展部未有明確證據顯示臺灣用戶資料遭外洩，隨著韓國官方調查結果出爐並揭示攻擊範圍，酷澎臺灣最終於日前（23日）通報主管機關，證實本次事件已確認造成超過20萬名台灣用戶個資遭非法讀取，亦促使主管機關進一步進行實地行政檢查。

數位發展部數位產業署今（26）日稍早發出聲明表示，於昨（25）日會同法律與資安專家、刑事警察局及國家資通安全研究院組成行政調查小組，赴酷澎臺灣進行實地個資行政檢查，確認其個資管理機制存在缺失，後續將依《個人資料保護法》及《數位經濟相關產業個人資料檔案安全維護管理辦法》辦理裁處。

本案源於2025年11月酷澎韓國（Coupang Corp.）發生個資外洩事件，數產署第一時間即要求酷澎臺灣說明臺灣用戶資料是否受到影響。酷澎臺灣當時回報，依內部調查尚無證據顯示臺灣消費者個資有外洩情形，並表示已委由第三方資安公司進行鑑識調查。為進一步釐清酷澎臺灣個資保護情形，數產署於2025年12月24日再次會同法律及資安專家赴該公司實施行政檢查，並要求其以雙週頻率回報韓國總部及第三方資安公司調查進度。

儘管酷澎臺灣曾於2026年1月12日、26日及2月9日三度回報調查進度，並持續表示尚無證據顯示臺灣用戶資料受影響，但韓國科學技術情報通訊部於2月10日公布的調查結果指出，攻擊者早在2025年11月16日及25日即寄發電子郵件，聲稱Coupang系統存在漏洞，恐導致數十億筆用戶隱私資料面臨外洩風險，影響範圍涵蓋韓國、日本及臺灣用戶。酷澎臺灣隨後於2月23日通報主管機關，並依第三方資安公司鑑識結果證實，已有臺灣用戶個資遭非法存取。

數產署初步調查顯示，本次攻擊與韓國事件為同一人所為，為酷澎韓國離職員工，其利用仍持有之備援金鑰，透過偽造客戶登入驗證方式存取資料庫。第三方鑑識報告指出，攻擊者透過超過2,000個不同IP位址登入系統，接觸約20萬4,552名酷澎臺灣用戶個資，涉及姓名、電子郵件、電話號碼、配送地址及部分訂單紀錄等資料。

此外，雖酷澎臺灣過去強調臺韓用戶資料庫彼此區隔，但本次檢查發現不同資料庫所使用之備援金鑰相同，使攻擊者得以透過單一金鑰存取資料。另酷澎亦未於員工離職後即時刪除系統權限，且未定期更換備援金鑰，導致離職員工仍可持原有憑證進行資料庫存取。

數產署表示，後續將持續查核鑑識報告及相關事證，並依調查結果循法定程序辦理後續裁處事宜，實際裁處內容將後續另行公告。