｢韓国のアマゾン｣クーパン､国民の6割相当の大規模情報流出 ── 中国闇マーケットで大量販売

ソウル市にあるクーパンオフィスビル　Jaewon Lee / SOPA Images/Sipa US via Reuters Connect

＜売上は10兆ウォン増でもセキュリティ投資は業界平均以下。政府認証取得後も4度目の流出＞

韓国最大手のEC企業クーパンで、史上最悪規模の個人情報流出事故が発覚した。11月29日、クーパンは顧客アカウント約3370万件の個人情報が流出したと発表。これは韓国の総人口約5100万人の6割以上に相当する規模だ。

衝撃的だったのは、被害規模の拡大スピードである。クーパンは11月18日の時点で「約4500件」と発表していたが、わずか11日後には7500倍の3370万件に跳ね上がった。流出した情報は、氏名、メールアドレス、電話番号、配送先住所、最近5件分の注文履歴。クレジットカード番号や決済情報は含まれていないが、詐欺の材料として悪用されるリスクは高い。特に住所についてはマンションなどのエントランスの暗証番号まで流出しているというから深刻だ。

さらに深刻なのは、クーパンが5カ月近くにわたって情報流出に気づかなかったという事実だ。政府の調査によれば、海外サーバーを通じた不正アクセスは6月24日から始まっていた。容疑者は退職した元中国人社員で、「認証システムの開発者」だったという。ノーカットニュース、韓国日報など韓国メディアが報じている。

「韓国のアマゾン」クーパンとは

クーパンは、2010年にハーバード・ビジネス・スクールを1年で中退した金範錫（キム・ボムソク）によって創業された。当初はグルーポンのような共同購入サイトだったが、2014年から「ロケット配送」と称する独自の物流システムに大規模投資を開始。注文の99.6%を24時間以内に配送するという驚異的なサービスで、韓国EC市場を席巻した。

全国に100カ所以上のフルフィルメントセンターを展開し、50万個以上の商品を当日または翌日に配達する。2018年にはソフトバンクグループから20億米ドル（約2300億円）の投資を受け、2021年にニューヨーク証券取引所に上場。時価総額は一時900億ドル（約10兆円）に達した。

またクーパンは月額4990ウォン（約500円）の有料会員サービス「ワウメンバーシップ」を軸に、動画配信サービス「クーパンプレイ」、フードデリバリー「クーパンイーツ」を展開。日本でいえば、アマゾン・プライムとウーバーイーツが合体したようなサービスだ。

クーパンプレイは2021年にサービスを開始し、スポーツコンテンツに注力。2024年3月には、大谷翔平選手が所属するロサンゼルス・ドジャースと韓国代表が対戦する「MLBワールドツアー・ソウルシリーズ」の主催スポンサーとなり、約150億ウォン（約15億円）を投資。独占中継権とチケット販売権を獲得し、韓国内で大きな話題を呼んだ。

2024年11月時点で月間アクティブユーザー数は3200万人超、ワウメンバーシップ加入者は1400万人を突破。2023年には創業以来初めて年間黒字を達成し、売上高でそれまで韓国の流通王者だったスーパーのイーマートを抜き去った。まさに「破竹の勢い」で成長を続けていた矢先の事件だった。

きっかけは顧客のクレーム

韓国インターネット振興院（KISA）に提出された報告書によれば、不正アクセスが発生したのは11月6日午後6時38分。しかしクーパンがこれを認識したのは12日も経過した11月18日午後10時52分だった。しかもこの時も、クーパン側のセキュリティシステムが自動検知したわけではない。きっかけは顧客からの苦情だった。

だが事態はさらに深刻だった。政府の調査によれば、不正アクセスは6月24日から始まっていた。つまり5カ月近くにわたって顧客情報が流出し続けていたことになる。クーパンは2024年基準で情報保護に861億ウォン（約86億円）を投資しており、これはサムスン電子、KTに次いで韓国企業で3番目に多い額だ。だが今回の事件で、それらはすべて無用の長物だったことが明らかになった。