Crisis en Coupang se agrava: Policía busca arresto de CEO y cuestiona cifra de afectados

SEÚL – El escándalo por la filtración de datos en la líder del comercio electrónico surcoreana Coupang se ha agravado de forma dramática, pasando de un fallo en la gestión de crisis a una potencial persecución penal contra los más altos niveles de la dirección corporativa. La policía surcoreana confirmó que está revisando activamente los fundamentos para una orden de arresto dirigida al Director Ejecutivo interino de la empresa, un movimiento que expertos legales en ciberseguridad describen como un momento decisivo para la rendición de cuentas de los ejecutivos en la región de Asia-Pacífico.

De forma simultánea, en un desarrollo que ha erosionado aún más la confianza en la transparencia de la compañía, funcionarios policiales han cuestionado públicamente el recuento oficial de usuarios afectados proporcionado por Coupang. Investigadores policiales, hablando bajo condición de anonimato a medios locales, indicaron que su análisis forense sugiere que la escala de la exposición de datos es "sustancialmente mayor" que las cifras divulgadas por la empresa, pudiendo afectar a millones más de clientes.

El camino hacia un posible arresto

La investigación policial, dirigida por la Unidad de Investigación Cibernética de la Agencia Nacional de Policía de Corea, habría reunido pruebas que sugieren que la alta dirección, incluido el CEO interino, podría haber estado al tanto de vulnerabilidades de seguridad sistémicas antes de la brecha, pero no autorizó medidas correctivas o inversiones suficientes. La revisión de la orden de arresto se centra en posibles violaciones de la Ley de Protección de Información Personal (PIPA) de Corea del Sur y de la Ley de Promoción de la Utilización de las Redes de Información y Comunicaciones y Protección de la Información, conocida comúnmente como la Ley de Redes.

"Cuando la negligencia alcanza el nivel de negligencia grave o desprecio voluntario de riesgos conocidos, sigue la responsabilidad individual", explicó la Dra. Min-ji Park, profesora de derecho cibernético en la Universidad Nacional de Seúl. "La acción policial indica que creen que hay pruebas de que la brecha no fue meramente un fallo de TI, sino un fallo de gobierno corporativo y del deber de cuidado a nivel ejecutivo."

Discrepancia en el recuento de víctimas: Una crisis de credibilidad

La disputa pública sobre el número de víctimas marca un deterioro significativo en la relación entre Coupang y los reguladores. Inicialmente, Coupang informó de que la brecha afectó a un subconjunto específico de usuarios, una cifra que ya se contaba por millones. Sin embargo, los equipos de forense digital de la policía, utilizando análisis de paquetes de datos y auditorías de registros de servidores, habrían identificado patrones de transferencia de datos y registros de acceso inconsistentes con el alcance declarado por la empresa.

Esta discrepancia plantea preguntas críticas sobre las metodologías de evaluación de brechas. Los profesionales de la ciberseguridad señalan que determinar con precisión el alcance de una brecha es complejo, pero una gran brecha entre las estimaciones internas y externas a menudo apunta a un registro inadecuado, una integración forense incompleta o un fallo en rastrear la ruta completa de exfiltración utilizada por los actores de la amenaza.

"Que la policía cuestione el recuento de víctimas es excepcionalmente raro y profundamente dañino", dijo Ken Westin, Director de Seguridad de la Información (Field CISO) en una firma global de inteligencia de amenazas. "Señala que las autoridades no confían en la investigación interna de la empresa. Para otras organizaciones, esta es una lección: su divulgación de brechas debe ser meticulosamente precisa y verificable. Los organismos reguladores están realizando cada vez más sus propias investigaciones paralelas."

Implicaciones técnicas y operativas

Si bien los detalles técnicos específicos del vector de la brecha permanecen bajo secreto de sumario, fuentes familiarizadas con la investigación sugieren que involucró una combinación de almacenamiento en la nube mal configurado (se sospecha que en la infraestructura AWS de Coupang) y claves API comprometidas, lo que permitió un acceso no autorizado prolongado. Se cree que los datos expuestos incluyen nombres completos, direcciones, números de teléfono e información de pago parcial.

La escalada a un posible arresto del CEO desplaza el enfoque desde los controles de seguridad puramente técnicos hacia la supervisión de riesgos a nivel de consejo de administración. Los marcos de Gobierno, Riesgo y Cumplimiento (GRC) están ahora bajo el microscopio, con especial énfasis en cómo los presupuestos de seguridad, las decisiones de aceptación de riesgos y los hallazgos de auditoría se reportan y son actuados por la alta dirección y el consejo.

Impacto más amplio en el panorama de la ciberseguridad

Este caso está siendo observado de cerca a nivel global como un indicador de las tendencias en la aplicación regulatoria. Demuestra un claro movimiento más allá de las multas y hacia la responsabilidad personal de los ejecutivos. Las Autoridades de Protección de Datos (DPA) en la Unión Europea, bajo el RGPD, y la Comisión Federal de Comercio (FTC) en Estados Unidos han perseguido sanciones corporativas, pero las órdenes de arresto criminal para CEOs en funciones tras una brecha son mucho menos comunes, especialmente en esta fase preliminar.

La situación también subraya la creciente sofisticación técnica de las unidades policiales cibernéticas. Su capacidad para realizar auditorías forenses independientes que desafían los hallazgos de una gran corporación indica una inversión significativa en capacidades investigativas.

Recomendaciones para los líderes de seguridad

A la luz de estos desarrollos, los líderes de ciberseguridad deberían:

1. Elevar los protocolos de reporte de brechas: Asegurarse de que los planes de respuesta a incidentes incluyan asesoría legal y canales de comunicación predefinidos con los reguladores. La precisión y coherencia en las declaraciones públicas es primordial.
2. Documentar las decisiones de riesgo: Documentar meticulosamente todas las evaluaciones de riesgo, solicitudes de presupuesto para mejoras de seguridad y las respuestas de la gerencia. Este rastro de auditoría es crucial para demostrar la debida diligencia.
3. Realizar auditorías independientes: Emplear regularmente auditores externos para validar la postura de seguridad y las evaluaciones de brechas. Una visión externa puede anticipar desafíos regulatorios.
4. Revisar el seguro D&O: Asegurarse de que las pólizas de seguro de Responsabilidad Civil de Directores y Gerentes (D&O) cubran explícitamente litigios y acciones regulatorias relacionadas con incidentes de ciberseguridad.

A medida que avanza el proceso legal, la brecha de Coupang ya no es solo una historia sobre datos robados. Se ha convertido en un caso de estudio definitorio sobre la convergencia del fracaso en ciberseguridad, el gobierno corporativo y el riesgo personal de los ejecutivos en la era digital. El resultado probablemente influirá en las actitudes de los consejos de administración hacia la inversión en seguridad y la relación con los reguladores durante los próximos años.