Kebocoran Data Coupang dan Denda Rekor di Korea Selatan

Kebocoran data Coupang berujung pada denda terbesar yang pernah dijatuhkan regulator privasi Korea Selatan untuk pelanggaran data pribadi: sekitar 624,7 miliar won atau sekitar US$409 juta. Putusan yang dilaporkan pada Juni 2026 ini penting bagi perusahaan di Indonesia karena menunjukkan bahwa denda dipengaruhi bukan hanya oleh kebocorannya, tetapi juga oleh cara perusahaan menanganinya.

Ringkasan Kasus

• Regulator: Personal Information Protection Commission (PIPC) Korea Selatan.
• Denda utama: 624,7 miliar won (sekitar US$409 juta) untuk Coupang dan anak usaha logistiknya, Coupang Fulfillment Services. Ini melampaui denda SK Telecom sebesar 134,8 miliar won (sekitar US$88,8 juta) yang sebelumnya menjadi rekor PIPC untuk pelanggaran data.
• Denda terpisah: 201,1 miliar won (sekitar US$132 juta) atas pengumpulan data penelusuran pihak ketiga secara diam-diam dari sekitar 11,2 juta pengguna lewat program afiliasi Coupang Partners.
• Korban yang dikonfirmasi PIPC: 33.222.472 anggota terdaftar dan sedikitnya 4.338.368 non-anggota. Coupang awalnya melaporkan sekitar 33,7 juta akun.
• Tanggapan perusahaan: menyatakan menyesalkan putusan dan dapat menggugat ke pengadilan setelah menerima putusan tertulis resmi.

Apa yang Terjadi

Menurut laporan The Record, PIPC menyimpulkan bahwa kebocoran ini bersumber dari kekurangan pada pengelolaan keamanan dasar, bukan peretasan canggih. Seorang mantan karyawan, warga negara Tiongkok yang keluar dari perusahaan pada akhir 2024, memakai kunci penandatanganan (signing key) yang dibawanya untuk mengakses data pelanggan selama sekitar tujuh bulan, lalu mengirim email pemerasan. Perusahaan dilaporkan baru menyadari aktivitas itu setelah seorang pelanggan meneruskan salah satu email pemerasan tersebut.

Data yang terdampak pada non-anggota berupa nama, nomor telepon, dan alamat yang tersimpan sebagai penerima kiriman oleh pelanggan lain. Ini pengingat bahwa data pihak ketiga yang tersimpan di sistem Anda, misalnya alamat penerima, tetap wajib dilindungi.

Kronologi Singkat

• Akhir 2024: mantan karyawan meninggalkan perusahaan dengan membawa kunci penandatanganan, menurut temuan PIPC.
• Januari 2025 dan bulan-bulan berikutnya: kunci itu diuji pada 95 akun, lalu dipakai mengakses data pelanggan selama sekitar tujuh bulan sebelum perusahaan menyadarinya.
• November 2025: Coupang melaporkan kebocoran sekitar 33,7 juta akun. Sehari kemudian, 21 November, regulator memerintahkan penyimpanan log akses; enam hari setelahnya sekitar enam bulan log dihapus secara manual.
• Desember 2025 dan Januari 2026: PIPC meminta Coupang memberi tahu korban non-anggota, namun permintaan tidak dipenuhi.
• Juni 2026: PIPC memutuskan denda dalam rapat pleno, yang dilaporkan The Record pada 12 Juni 2026, disertai rujukan pidana atas perusakan bukti berupa penghapusan log akses.

Mengapa Dendanya Sebesar Itu

Bagian paling instruktif dari putusan ini adalah perilaku setelah kebocoran, menurut temuan PIPC yang dilaporkan The Record:

• Notifikasi korban: PIPC menyatakan sudah meminta Coupang sebanyak empat kali pada Desember 2025 dan Januari 2026 agar memberi tahu korban non-anggota, tetapi tidak dilakukan.
• Penghapusan log: perusahaan dilaporkan menghapus secara manual sekitar enam bulan log akses web enam hari setelah regulator memerintahkan agar log disimpan. Sekitar 13 persen log yang mencakup periode serangan hilang, sehingga tidak semua korban dapat diidentifikasi. Hal ini dirujuk untuk proses pidana atas perusakan bukti.
• Independensi pejabat privasi: PIPC memutuskan bahwa investigasi internal Coupang melanggar independensi chief privacy officer yang diwajibkan hukum, karena pejabat tersebut dikesampingkan.

Sebagian di antaranya diatur dalam hukum Korea Selatan, jadi tidak bisa begitu saja dipindahkan ke Indonesia. Namun logikanya sejalan dengan prinsip UU PDP: pengendali data wajib menjaga keamanan data, memberi tahu pihak terdampak, dan bekerja sama dengan otoritas.

Pelajaran untuk Kepatuhan UU PDP di Indonesia

Kewajiban pelindungan data bagi perusahaan Indonesia dijelaskan di UU PDP: Kewajiban Pelindungan Data Pribadi bagi Perusahaan dan aturan pelaksananya di PP 33/2026. Dari kasus Coupang, ada beberapa praktik yang patut ditiru.

1. Cabut akses saat karyawan keluar. Kunci, token, dan kredensial yang dipegang karyawan harus dicabut dan diganti saat mereka berhenti. Kunci penandatanganan yang dibawa pergi dan tetap berlaku selama tujuh bulan adalah kegagalan proses offboarding, bukan kecanggihan penyerang.
2. Pantau akses yang tidak biasa. Perusahaan baru tahu dari email pemerasan, bukan dari alarm sendiri. Siapkan deteksi atas penggunaan kunci dan akses data dalam jumlah tidak wajar.
3. Tetapkan prosedur notifikasi. UU PDP mengatur pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3 x 24 jam setelah kegagalan pelindungan data. Siapkan templat, penanggung jawab, dan daftar pihak yang harus diberi tahu sebelum insiden terjadi.
4. Amankan bukti. Ketika ada perintah menyimpan log, simpan. Menghapus log menambah masalah hukum yang lebih berat daripada kebocorannya. Prosedurnya dapat mengikuti tahapan incident response.
5. Jaga independensi pejabat pelindungan data. Libatkan pejabat atau fungsi pelindungan data dalam investigasi, jangan dikesampingkan.
6. Batasi pengumpulan data. Denda kedua menunjukkan bahwa pengumpulan data tanpa transparansi adalah risiko terpisah dari kebocoran.

Perlu dicatat, kasus ini masih dapat berubah: Coupang menyatakan dapat menggugat, dan menurut laporan The Record per Juni 2026, mediasi sengketa yang melibatkan lebih dari 2.500 pengaju klaim dilanjutkan serta sebuah gugatan kelas di AS masih berjalan.

Baca juga: Kebocoran Data Instructure Canvas oleh ShinyHunters.

Pertanyaan yang Sering Diajukan

Apakah denda 624,7 miliar won sudah final?

Belum tentu. Menurut laporan Juni 2026, Coupang menyatakan menyesalkan putusan dan dapat menggugat ke pengadilan setelah menerima putusan tertulis resmi. Rujukan pidana atas penghapusan log adalah proses terpisah yang hasilnya ditentukan aparat penegak hukum dan pengadilan.

Apakah kebocoran ini disebabkan peretasan canggih?

Menurut PIPC, tidak. Penyebabnya adalah kekurangan pada pengelolaan keamanan dasar yang memungkinkan mantan karyawan memakai kunci penandatanganan selama sekitar tujuh bulan.

Apakah UU PDP Indonesia mewajibkan pemberitahuan kebocoran?

Ya. UU PDP mewajibkan pengendali data memberi tahu subjek data dan lembaga secara tertulis dalam waktu paling lambat 3 x 24 jam. Detail teknis ada di aturan pelaksana, sehingga tim hukum dan kepatuhan perlu memeriksanya.

Apa yang bisa saya lakukan jika data saya ada di kebocoran serupa?

Ganti kata sandi, aktifkan autentikasi dua faktor, dan waspadai pesan penipuan yang memakai data Anda. Panduan pengecekan ada di Cara Mengecek Apakah Data Pribadi Anda Bocor.

Kesimpulan

Pelajaran terbesar dari kebocoran data Coupang per 29 Oktober 2026 adalah bahwa regulator menilai keseluruhan respons: pengamanan dasar, notifikasi, penyimpanan bukti, dan independensi fungsi privasi. Perusahaan di Indonesia sebaiknya menguji kesiapan ini sekarang, bukan setelah insiden. Linuxhackingid menyediakan pelatihan keamanan dan kepatuhan data untuk tim yang ingin membangun kesiapan tersebut.