Coupang, la più grande piattaforma e-commerce della Corea del Sud (paragonabile alla americana Amazon), è stata vittima di  un importante data breach che ha compromessi i personali di oltre 33 milioni di utenti (praticamente piu della metà della popolazione nazionale). La violazione che ha riguardato nomi, email e indirizzi di consegna (fortunatamente non le carte di credito) è stata perpetrata per 5 mesi (da giugno a novembre 2025) senza che nessuno se ne accorgesse, segno che mancavano una governance degli accessi e  sistemi di rilevamento interni efficaci. Secondo alcuni media sudcoreani l'attacco potrebbe essere stato opera di un ex dipendente cinese della società.

La vicenda ha avuto  grande risonanza anche sul fronte politico: il parlamento sudcoreano ha convocato il fondatore Kim Bom (che ha declinato l'invito ma ha poi rivolto delle “scuse ufficiali” ai suoi clienti), il governo ha annunciato indagini approfondite e il CEO operativo si è dimesso assumendosi la “grave responsabilità” di quanto accaduto. Coupang rischia sanzioni fino a 721 milioni CHF, una class action negli Stati Uniti, un calo del titolo in borsa (-10%), la perdita di 1,8 milioni di utenti attivi e un risarcimento complessivo di oltre un miliardo CHF, sotto forma di buoni acquisto da 50.000 won per ciascun utente colpito.

Il caso ha riacceso il dibattito sulla scarsa sicurezza informatica delle grandi aziende tecnologiche e Telco sudcoreane, un problema emerso più volte nel 2025 (vedasi SK Telecom, LG Uplus, Yes24), spiegando la dura reazione delle istituzioni che hanno parlato di “lacune strutturali” nella protezione dei dati personali. Dal confronto normativo emerge che, pur essendo avanzata, la legge coreana sulla privacy (PIPA) è frammentata e meno orientata alla governance della cyber security rispetto al modello europeo basato su GDPR e NIS2 che, se applicata, non avrebbe certo garantito l’assenza dell’incidente, ma ne avrebbe probabilmente ridotto durata e impatto, grazie a requisiti più stringenti su governance, controllo degli accessi, monitoraggio continuo, obblighi di notifica e responsabilità del management.

‍