Corea del Sur ha impuesto una multa histórica de más de 400 millones de dólares a Coupang, el gigante del comercio electrónico, por una filtración masiva de datos que expuso la información personal de decenas de millones de usuarios. Se trata de la sanción más alta jamás aplicada por la Comisión de Protección de Información Personal (PIPC) del país asiático.

Una filtración de proporciones épicas

El incidente, que salió a la luz en noviembre de 2025, comprometió los datos de aproximadamente 37,5 millones de usuarios, según la PIPC. La propia Coupang había reconocido previamente que la brecha podría haber afectado a más de 34 millones de cuentas de clientes en Corea del Sur, lo que representa cerca de dos tercios de la población del país.

La investigación reveló que la filtración comenzó al menos en junio de 2025 a través de un servidor ubicado en el extranjero. Un exempleado de la empresa obtuvo acceso a nombres, direcciones de correo electrónico y físicas, números de teléfono e historiales de pedidos. La comisión determinó que Coupang no contaba con las salvaguardas adecuadas, incluyendo una gestión deficiente de claves de autenticación y controles de acceso.

La investigación y la multa

Tras meses de investigación, la PIPC anunció el miércoles una multa de 624.680 millones de wones (unos 400 millones de dólares) contra Coupang por «violar las obligaciones de seguridad y recopilar datos personales sin fundamento legal». La sanción es la mayor impuesta por el regulador coreano por una violación de datos.

El caso también ha tenido repercusiones políticas. Legisladores surcoreanos acusaron a algunos congresistas estadounidenses de ejercer presión política al vincular la filtración con las relaciones bilaterales entre ambos países, según reportes de prensa.

La respuesta de Coupang

Coupang, con sede en Estados Unidos pero cuyos ingresos provienen mayoritariamente de Corea del Sur, respondió con un comunicado en el que afirmó «lamentar profundamente la preocupación causada» y prometió reforzar sus medidas de seguridad. Sin embargo, la compañía adelantó que planea impugnar la decisión del regulador.

«Nuestras explicaciones y las medidas para prevenir daños adicionales no fueron suficientemente reflejadas en la decisión de la comisión», señaló Coupang. «Al recibir la resolución oficial de la PIPC, esperamos que los hechos queden claramente establecidos a través de los procedimientos legales».

Tras la filtración, el consejero delegado de Coupang, Park Dae-jun, dimitió para asumir la responsabilidad del incidente. El director administrativo, Harold Rogers, fue nombrado CEO interino.

Contexto de ciberseguridad en Corea del Sur

El caso de Coupang se suma a una serie de incidentes de ciberseguridad de alto perfil que afectaron a empresas surcoreanas el año pasado, a pesar de la reputación del país por sus estrictos estándares de privacidad de datos. El operador móvil más grande del país, SK Telecom, fue multado con casi 100 millones de dólares por una filtración que afectó a más de 20 millones de suscriptores.

Coupang, considerado el «Amazon de Asia» por su dominio en el comercio electrónico surcoreano, ahora se enfrenta a un proceso legal que determinará si la multa se mantiene o se reduce. La compañía espera recibir la resolución oficial para continuar con su defensa ante los tribunales.