Coupang condenada a indenizar: primeiro precedente judicial do maior vazamento da Coreia

O evento de 31 de julho de 2026 é a ponta mais recente de um caso já extensamente apurado, não o incidente em si. O incidente subjacente — vazamento de dados de até 37,56 milhões de pessoas da plataforma de e-commerce Coupang — foi confirmado pela PIPC, que concluiu sua investigação e aplicou multa recorde em junho de

2026. A decisão de mediação desta semana é o primeiro precedente de responsabilidade civil, não a primeira apuração do fato.

O vetor técnico é claro e confirmado por múltiplas fontes independentes: um ex-funcionário de 43 anos, nacional chinês, que havia desenvolvido o sistema alternativo de autenticação da Coupang enquanto ainda empregado, reteve a chave de assinatura ao sair da empresa no final de

2024. Entre janeiro de 2025 (teste em 95 contas) e novembro de 2025, usou essa chave para gerar tokens forjados e acessar os sistemas da empresa sem ser detectado. A PIPC concluiu que o incidente não decorreu de técnica avançada de intrusão, mas de falhas básicas de gestão: chaves de autenticação visíveis a funcionários sem necessidade de acesso, não rotacionadas após desligamentos, e monitoramento insuficiente de atividade anômala.

O número de afetados tem três versões distintas que precisam ser tratadas separadamente. A Coupang divulgou inicialmente 33,7 milhões de membros. A investigação conjunta governo-empresa identificou 33,67 milhões. A PIPC, em sua decisão final de junho de 2026, elevou o número para 37,56 milhões ao incluir 4,33 milhões de não-membros cujos dados apareciam em registros de entrega de clientes — pessoas que nunca se cadastraram na Coupang e sequer sabiam que seus dados estavam ali. O regulador formalmente instou a empresa quatro vezes, em dezembro de 2025 e janeiro de 2026, a notificar essas vítimas não-membros; a Coupang não o fez em nenhuma das vezes.

A narrativa da empresa sobre o impacto real é a principal contradição do caso. A Coupang sustentou que o ex-funcionário 'armazenou' dados de apenas ~3.000 contas e que todos esses dados foram posteriormente deletados sem vazamento a terceiros. O regulador não aceitou esse enquadramento: para a PIPC, o acesso a 37,56 milhões de contas constitui vazamento independentemente de quantos registros foram fisicamente copiados para fora. O comitê de mediação de consumidores também rejeitou o argumento, citando a impossibilidade de se descartar com certeza o uso indevido adicional dos dados. Há aqui uma disputa conceitual e legal genuína — não apenas spin corporativo — sobre o que configura 'vazamento' sob a lei coreana de proteção de dados.

Um agravante crítico e frequentemente subnoticiado: a Coupang destruiu manualmente aproximadamente cinco a seis meses de logs de acesso web após a PIPC ter ordenado a preservação de evidências. O regulador encaminhou queixa criminal por obstrução de investigação e deixou claro que esse fato contribuiu para o tamanho da multa. A empresa também perdeu o prazo de 72 horas para notificação regulatória e deixou de depositar o Form 8-K na SEC dentro da janela de quatro dias úteis exigida — abrindo frente de litígio nos EUA, onde firmas como Hagens Berman e Saxena White investigam possível omissão dolosa em disclosures a investidores durante o período em que o acesso não autorizado já estava ocorrendo.

A sensibilidade dos dados expostos merece atenção especial. Além dos campos usuais de e-commerce (nome, email, telefone, endereço, histórico de pedidos), o vazamento incluiu senhas de portaria de condomínio — informação de segurança física, não apenas digital. A Coupang limitou essa exposição a 2.609 contas em sua versão dos fatos; o regulador e o comitê de mediação usaram explicitamente esse elemento como fundamento para reconhecer dano moral. Em um país onde travas digitais em edifícios residenciais são ubíquas e o número de portaria é compartilhado rotineiramente com entregadores via aplicativo, essa categoria de dado cria risco físico direto.

O caso já gerou múltiplas frentes de responsabilidade simultâneas: multa regulatória recorde da PIPC (KRW 624,7 bi), queixa criminal por obstrução, litígio de investidores nos EUA, mediação de consumidores (potencial KRW 3,7 tri se estendida a todos os afetados), e escrutínio do Congresso americano via subpoena da House Judiciary Committee — esta última frente ligada a tensões diplomáticas sobre tratamento de empresas americanas na Coreia, não ao mérito do vazamento em si.

O impacto direto da decisão de 31 de julho de 2026 é limitado em valor (KRW 5 milhões no total para os 50 participantes da mediação), mas seu peso está no precedente: é a primeira decisão de qualquer instância reconhecendo formalmente a responsabilidade civil da Coupang pelo caso. Se a empresa aceitar a mediação — e a ausência de resposta em 15 dias equivale a aceitação —, a Comissão pretende estender o mesmo padrão aos demais afetados, o que projetaria uma exposição de KRW 3,7 trilhões (~USD 2,6 bilhões) se todos os 37,56 milhões de vítimas pleiteassem compensação. O impacto já realizado sobre os consumidores inclui: exposição de nome, telefone, email, endereço, histórico de compras e, em 2.609 casos confirmados pela própria Coupang, senhas de portaria de condomínio. Pagamentos, senhas de conta e documentos de identidade não foram acessados, segundo a empresa e a PIPC. O risco residual é de engenharia social direcionada — phishing e smishing usando dados reais de pedidos — com duração indefinida, já que endereços e nomes não expiram.