Coupang, platform e-commerce terkemuka di Korea Selatan, baru-baru ini mengungkapkan pelanggaran data yang mempengaruhi 33,7 juta akun pelanggan yang setara dengan hampir dua pertiga populasi Korea.
Hal ini merupakan insiden keamanan e-commerce terbesar dalam sejarah Korea Selatan dan dapat mengakibatkan denda hingga $900 juta (sekitar 1,2 triliun KRW).
Pelanggaran ini mengungkap kerentanan dalam sistem perlindungan data, khususnya pada platform e-commerce yang menangani data sensitif termasuk riwayat transaksi, alamat pengiriman, dan metode pembayaran.
Besarnya insiden ini telah menimbulkan kekhawatiran di kalangan pelanggan dan pengamat industri.
Akses Tidak Sah Tidak Terdeteksi selama Lima Bulan
Pada tanggal 29 November, Coupang mengkonfirmasi pemaparan nama pengguna, nomor telepon, alamat email, buku alamat pengiriman, dan rincian pembelian secara tidak sah.
Meskipun perusahaan mendeteksi akses yang tidak biasa pada tanggal 6 November pukul 18:38 KST, perusahaan tersebut tidak sepenuhnya mengidentifikasi pelanggaran tersebut hingga tanggal 18 November pukul 22:52 atau lebih dari 12 hari kemudian.
Investigasi mengungkapkan bahwa penyerang telah mengakses data pelanggan melalui server luar negeri selama hampir lima bulan, dari 24 Juni hingga 8 November.
Seorang mantan karyawan Coupang telah diidentifikasi sebagai tersangka utama. Individu tersebut memiliki akses ke layanan otentikasi dan menyimpan kunci akses setelah pengunduran diri, sehingga memungkinkan terjadinya pelanggaran.
Data Tidak Wajib Secara Hukum untuk Dienkripsi
Informasi yang bocor tidak tunduk pada enkripsi wajib berdasarkan hukum Korea. Saat ini, Undang-Undang Perlindungan Informasi Pribadi di Korea Selatan mewajibkan enkripsi hanya untuk data pembayaran seperti nomor kartu kredit dan pengidentifikasi unik seperti nomor registrasi penduduk.
Meskipun informasi seperti nama, alamat, nomor telepon, alamat email, dan riwayat pembelian mungkin tampak kurang penting, menggabungkan titik data ini dapat menimbulkan risiko keamanan.
Menganalisis riwayat pembelian mengungkapkan pola gaya hidup dan struktur keluarga, yang bila dikaitkan dengan rincian kontak pribadi, dapat menyebabkan serangan spear-phishing atau bahkan ancaman fisik.
Selain itu, melakukan referensi silang terhadap data ini dengan informasi pembayaran yang bocor sebelumnya dapat memungkinkan serangan identifikasi ulang yang secara tepat mengidentifikasi individu.
Kasus untuk Solusi Enkripsi Tingkat Perusahaan
Kejadian ini menyoroti pentingnya enkripsi datameskipun hal itu tidak diamanatkan secara hukum. Tidak seperti data yang tidak terenkripsi, yang langsung dapat dieksploitasi setelah bocor, data yang terenkripsi tetap tidak berguna tanpa kunci dekripsi.
Namun, karena tidak adanya kewajiban hukum, banyak perusahaan tidak memprioritaskan enkripsi sukarela.
Untuk mengurangi risiko pelanggaran data, organisasi harus menerapkan solusi enkripsi yang telah terbukti dari vendor keamanan siber tepercaya. Sejak didirikan pada tahun 1997, Penta Security telah membangun keahlian dalam perlindungan data dan menjadi pemimpin global dalam keamanan data.
Pada tahun 2004, Keamanan Penta diluncurkan D.AMOplatform enkripsi data yang menyediakan enkripsi, kontrol terpusat, dan sistem manajemen kunci independen (KMS).
Selama 20 tahun terakhir, D.AMO telah digunakan oleh lebih dari 10.000 pelanggan perusahaan, termasuk lembaga keuangan besar, entitas sektor publik, dan perusahaan besar, yang menegaskan statusnya sebagai pemimpin dalam keamanan siber global.
D.AMO mendukung beberapa metode enkripsi—enkripsi berbasis API, plug-in, dan tingkat kernel—tanpa memerlukan modifikasi aplikasi. Fleksibilitas ini memungkinkan penerapan lebih cepat, mengurangi waktu penyiapan dari bulan ke hari. Ia juga menawarkan fitur keamanan terintegrasi seperti kontrol akses, audit, dan pemantauan.
Kekhawatiran tentang penurunan kinerja akibat enkripsi adalah hal yang wajar, namun teknologi modern mengatasi hal ini secara efisien.
Misalnya, D.AMO meminimalkan dampak kinerja dengan menawarkan enkripsi selektif tingkat kolom berdasarkan sensitivitas data dan kompatibel dengan setiap lapisan lingkungan sistem organisasi.
Rekor Denda Diharapkan Di Tengah Kemarahan Publik
Pelanggaran Coupang ini melampaui kebocoran data SK Telecom USIM sebelumnya yang melibatkan 27 juta pengguna, yang mengakibatkan denda sebesar KRW 134,8 miliar.
Berdasarkan perubahan undang-undang perlindungan data Korea Selatan, denda dapat mencapai hingga 3% dari pendapatan tahunan, yang dalam kasus Coupang dapat berkisar dari 150 miliar KRW hingga maksimum 1,2 triliun KRW.
Hanya dua hari setelah pelanggaran tersebut dipublikasikan, gerakan class action mulai terbentuk, dengan lebih dari 200.000 orang bergabung dalam forum online terkait. Pelanggaran tersebut bukanlah serangan siber eksternal melainkan kasus penyalahgunaan kredensial sah oleh orang dalam.
Periode deteksi yang diperpanjang oleh perusahaan juga dapat dipandang sebagai pelanggaran terhadap langkah-langkah keselamatan wajib yang berpotensi mengakibatkan hukuman tambahan.
Keamanan Proaktif dengan Solusi Terverifikasi
Pelanggaran data Coupang menunjukkan bahwa informasi yang tidak tercakup dalam persyaratan enkripsi masih dapat menimbulkan risiko jika digabungkan. Perusahaan harus mempertimbangkan untuk melindungi data pelanggan melampaui batas minimum hukum dengan mengadopsi solusi enkripsi dari penyedia keamanan siber yang sudah mapan seperti Penta Security.
Selain alat enkripsi, organisasi memerlukan manajemen terpusat dan sistem manajemen kunci yang efektif.
Dengan pengalaman hampir 30 tahun dan pengembangan berkelanjutan, Penta Security menyediakan solusi keamanan siber untuk berbagai infrastruktur TI—mulai dari sistem on-premise hingga lingkungan cloud, multi-cloud, dan hybrid.
Selain itu, D.AMO Penta Security dapat mengenkripsi semua tipe data (terstruktur dan tidak terstruktur) dan dapat diterapkan di semua lapisan sistem TI, termasuk OS, database, dan aplikasi.
Seperti yang ditunjukkan dalam kasus Coupang, organisasi dapat memperoleh manfaat dari penerapan enkripsi di luar data yang diwajibkan secara hukum untuk membantu mencegah insiden serupa.
Disponsori dan ditulis oleh Keamanan Penta.
