（1）疑似入侵/未授权访问开始：媒体普遍指向 2025-06-24左右开始出现异常访问/数据外流，且可能通过海外服务器链路进行。
（2）发现时间：公司称在 2025-11-18发现泄露并报告监管。
（3）对外披露与监管介入：11 月底事件公开后，韩国政府启动调查，警方对公司相关场所开展搜查取证。
（4）管理层问责：2025-12-10 前后，多家媒体报道 Coupang CEO 朴大俊（Park Dae-jun）辞职，由集团高管临时接任。
1、泄露数据类型（按公开披露整理）
个人身份与联系方式：姓名、邮箱、手机号
物流与地址：收货地址（部分报道提及“shipping addresses”）
行为数据：部分订单/购物记录（order histories / order details）
未泄露（公司口径）：支付信息、登录凭证/密码等
2、适用法律框架
核心适用为韩国《个人信息保护法》（PIPA）及其配套规定；主管机关主要为个人信息保护委员会（PIPC），重大事件常伴随执法机关（警方）侦查与取证。
2、个人信息处理者的关键法定义务与本案关联点
（1）安全性确保义务：个人信息处理者应采取适当的技术与管理措施（访问控制、密钥/凭证管理、日志审计等）。若外泄与“认证漏洞/密钥管理缺陷/离职权限未及时回收”等相关，通常会被纳入“安全措施是否充分”的审查重点。
（2）泄露知悉后的通知义务：一般要求在知悉泄露后一定期限内通知数据主体（常见要求为72小时内，具体适用以法令与事件性质为准），延迟发现与处置流程将被重点审视。
（3）跨境与海外服务器因素：报道提及通过海外服务器链路发生未授权访问，实践中会触发监管对跨境系统架构、访问路径、第三方运维/外包、加密与密钥托管机制的审查。
3、民事责任规则（损害赔偿与惩罚性赔偿）
韩国舆论与法律界广泛讨论：在故意或重大过失导致泄露的情形下，PIPA项下存在最高可至实际损害5倍的惩罚性赔偿空间（司法适用仍取决于过错与举证）。
4、刑事风险
若调查认定存在“未经授权获取/提供/接收个人信息”等特定违法行为，可能触发刑事条款（最高可至有期徒刑与罚金并行的框架），并可能对相关责任人员追责。
三、法律后果与风险敞口
1、行政调查与纠正命令：PIPC/政府部门已表态严查并推进调查，常见结果包括整改命令、治理体系要求、定期审计与合规承诺等。
2、行政罚款/课征金：在“未采取适当安全措施”等被认定成立时，罚款上限可至总营业收入的3%（并可能排除与违法无关的收入），金额取决于违法性质、持续时间、影响规模与过错程度等因素。
3、民事索赔与集体诉讼：多家媒体报道法律界推动对Coupang及其美国主体发起集体诉讼/索赔；诉讼焦点通常集中在“过错程度、损害证明、通知与补救是否充分”。
4、公司治理与声誉损害的连锁后果：CEO辞职、听证/质询、用户流失与股价波动均已出现或被报道，属于典型“合规—经营—资本市场”联动风险。
四、对中国企业的启示（面向在韩经营、出海平台、跨境电商与SaaS）
1、把“身份与密钥治理”作为一号控制项
本案线索反复指向认证漏洞、密钥/权限管理与离职人员访问残留的风险面。中企在韩国或面向韩国用户运营时，应将离职回收（Offboarding）自动化、特权账号PAM、密钥全生命周期管理（轮换/托管/审计）设为硬性红线。
2、把“发现时间”当作合规指标，而非单纯技术KPI
从“6月疑似开始、11月发现”到监管强硬表态，说明MTTD/MTTR（平均发现/响应时间）会直接转化为执法与舆论风险。建议建立：异常导出/批量查询告警、数据库审计、UEBA+SIEM联动与高危告警升级机制。
3、预置“72小时通知”作战体系
对外通知、监管报送、证据保全、客服与反诈联动必须预案化（模板化对外口径、FAQ、取证清单、跨境沟通链路），以满足知悉后尽快通知的要求并降低二次诈骗风险。
4、业务架构与跨境合规要“可解释、可审计”
若使用海外服务器、跨境运维或外包开发，应确保：数据分区与最小化、访问路径可追溯、第三方访问全审计、合同中固化安全控制与事件通报时限，并准备面对“为何这样设计、如何防止越权”的监管问询。
5. 预算与董事会问责机制要前置
韩国监管环境对“企业疏忽”惩戒趋势上升（并出现对更严厉惩罚制度的公开讨论），中企出海应将网络安全投入与董事会监督纳入治理体系，避免“事后补救型合规”。
