डेटा सेंध का पैमाना
दक्षिण कोरिया के विज्ञान और आईसीटी मंत्रालय ने मंगलवार को पुष्टि की कि देश के प्रमुख ई-कॉमर्स मंच और नैस्डैक में सूचीबद्ध कंपनी कूपांग में बड़े पैमाने पर हुई डेटा सेंध में 3.367 करोड़ उपयोगकर्ताओं के रिकॉर्ड प्रभावित हुए। यह संख्या दक्षिण कोरिया की 5.1 करोड़ आबादी के लगभग दो-तिहाई के बराबर है। यह देश के इतिहास में उपभोक्ता डेटा की सबसे बड़ी सेंधों में से एक है और डिजिटल रूप से सक्रिय आबादी के एक बड़े हिस्से को प्रभावित करती है।
विषय-सूची
जांच में पता चला कि कंपनी के एक पूर्व कर्मचारी ने प्रमाणीकरण संबंधी कमजोरियों का फायदा उठाकर लाखों उपयोगकर्ताओं के नाम और ईमेल पते हासिल किए। शुरुआती खाते की जानकारी के अलावा, हमलावर ने डिलीवरी सूची वाले पन्नों को 14.8 करोड़ बार देखा। इससे नाम, फोन नंबर, घर के पते और यहां तक कि गुमनाम किए गए अपार्टमेंट प्रवेश पासवर्ड भी उजागर हुए हो सकते हैं। कूपांग उपयोगकर्ताओं को प्रति खाते 20 डिलीवरी पते तक सहेजने देता है, इसलिए प्रभावित स्थान संबंधी डेटा की वास्तविक मात्रा खातों की मूल संख्या से कहीं अधिक हो सकती है। इससे खाताधारकों के परिवार के सदस्य और परिचित भी प्रभावित हो सकते हैं।
मंत्रालय के साइबर सुरक्षा और नेटवर्क नीति कार्यालय के प्रमुख चोई वू-ह्योक ने सियोल में सरकारी प्रेस वार्ता के दौरान ये निष्कर्ष पेश किए। यह पुष्टि कूपांग को 17 नवंबर, 2025 को सेंध का पता चलने के लगभग तीन महीने बाद आई है और कंपनी के शुरुआती सार्वजनिक बयानों से मामले की गंभीरता में उल्लेखनीय बढ़ोतरी दर्शाती है। सार्वजनिक पुष्टि में देरी से अटकलें लगी थीं कि अमेरिका के व्यापारिक दबाव और अमेरिकी नेताओं के इस आरोप के कारण घोषणा टाली गई कि दक्षिण कोरियाई सरकार अमेरिकी कंपनियों के साथ भेदभाव करती है। जांच दल ने इन आरोपों को सिरे से खारिज किया।
जांच दल ने जोर देकर कहा कि उसने कभी कानूनी सिद्धांतों से विचलन नहीं किया और किसी कंपनी के साथ अलग व्यवहार नहीं किया। नतीजे उपलब्ध होते ही उन्हें शीघ्र और पारदर्शी तरीके से सार्वजनिक करने के मानकों का पालन किया गया। यह बयान उन बढ़ती चिंताओं के जवाब में था कि मामला नियामकीय जरूरतों के बजाय कूटनीतिक विचारों से प्रभावित हो सकता है।
हमला कैसे हुआ
यह सेंध कंपनी के भीतर से शुरू हुई। जांचकर्ताओं ने हमलावर की पहचान कूपांग के एक पूर्व कर्मचारी के रूप में की, जिसने कंपनी में काम करते हुए उपयोगकर्ता प्रमाणीकरण सॉफ्टवेयर विकसित किया था। सरकारी विश्लेषण के अनुसार, उसने प्रमाणीकरण प्रणाली से साइनिंग की चुराई, 5 से 20 जनवरी, 2025 के बीच शुरुआती हमले के परीक्षण किए और फिर व्यवस्थित तरीके से डेटा निकालने के लिए वेब क्रॉलिंग टूल इस्तेमाल किए।
हमले की अवधि 14 अप्रैल से 8 नवंबर, 2025 तक रही, जिससे हमलावर लगभग सात महीने तक बिना पकड़े काम करता रहा। चुराई गई साइनिंग की का उपयोग करके पूर्व कर्मचारी ने अधिकारियों के शब्दों में एक इलेक्ट्रॉनिक प्रवेश-पास बनाया और सामान्य लॉगिन प्रक्रिया को पूरी तरह दरकिनार कर दिया। इस तरीके से कंपनी छोड़ने के बाद भी वह कूपांग की सेवाओं तक पहुंच बनाए रख सका।
कोरिया इंटरनेट एवं सुरक्षा एजेंसी के डिजिटल खतरा प्रतिक्रिया प्रभाग के प्रमुख ली डोंग-ग्युन ने बताया कि जांचकर्ताओं को पता चला कि कूपांग के मौजूदा डेवलपर साइनिंग की निजी लैपटॉप में सहेजते थे। यह आंतरिक नियमों के विरुद्ध था, जिनके मुताबिक ऐसी जानकारी प्रबंधन प्रणालियों के भीतर ही रखी जानी चाहिए। इसी वजह से वह कमजोरी पैदा हुई जिसने डेटा सेंध को संभव बनाया।
हमलावर ने मेरी जानकारी संपादित करें पन्ने तक पहुंचकर नाम और ईमेल पते वाले 33,673,817 रिकॉर्ड हासिल किए। इसके अलावा, डिलीवरी पता सूची वाले पन्ने को 14.805 करोड़ बार देखा गया, जबकि ऑर्डर सूची वाले पन्ने को लगभग एक लाख बार अनधिकृत रूप से देखा गया। जांचकर्ताओं ने पुष्टि की कि हमलावर के पास विदेश स्थित क्लाउड सर्वरों तक डेटा भेजने में सक्षम प्रणालियां थीं, हालांकि वे यह सत्यापित नहीं कर सके कि ऐसा डेटा वास्तव में भेजा गया था या नहीं।
सरकार का निष्कर्ष
दक्षिण कोरियाई अधिकारियों ने कूपांग की सुरक्षा व्यवस्था का कड़ा आकलन किया। चोई वू-ह्योक ने इस घटना को किसी परिष्कृत बाहरी हमले के बजाय प्रबंधन की स्पष्ट विफलता बताया। जांच दल ने प्रमाणीकरण प्रणाली के प्रबंधन और साइनिंग की पर नियंत्रण में गंभीर कमियां पाईं।
यह कूपांग की स्पष्ट प्रबंधन विफलता है, कोई परिष्कृत हमला नहीं। दल ने प्रमाणीकरण प्रणालियों और साइनिंग की के प्रबंधन में कमियां पाई हैं।
जांच में नियमों के कई उल्लंघन सामने आए। कूपांग अनिवार्य 24 घंटे की समय-सीमा में सेंध की सूचना देने में विफल रहा। उसे 18 नवंबर तक अधिकारियों को सूचित करना था, लेकिन उसने 19 नवंबर को सूचना दी। इससे भी गंभीर बात यह है कि कंपनी ने कथित तौर पर 19 नवंबर को जारी डेटा सुरक्षित रखने के आदेश का उल्लंघन किया। साक्ष्य बनाए रखने के निर्देश के बावजूद कूपांग ने लॉग अपने-आप सहेजने की नीतियों में बदलाव नहीं किया। नतीजतन, जुलाई से नवंबर 2024 तक के वेब एक्सेस लॉग और 23 मई से 2 जून, 2025 तक के ऐप एक्सेस लॉग मिट गए।
मंत्रालय ने बताया कि देर से सूचना देने के उल्लंघन पर प्रशासनिक जुर्माना लगाया जा सकता है, जो 3 करोड़ वॉन तक हो सकता है। अधिकारियों ने साक्ष्य नष्ट किए जाने से जुड़े संभावित अवरोध की जांच के लिए कानून प्रवर्तन एजेंसियों से भी अनुरोध किया। कूपांग को अब इसी महीने के अंत तक मंत्रालय के समक्ष रोकथाम के उपाय पेश करने होंगे। इन उपायों को मार्च से मई के बीच लागू किया जाना है, जिसके बाद जून और जुलाई में सरकारी निरीक्षण होगा।
कूपांग का बचाव और वास्तविकता
पूरी जांच के दौरान कूपांग का कहना रहा कि तकनीकी रूप से 3.37 करोड़ खाते प्रभावित हुए, लेकिन वास्तविक नुकसान सीमित था। कंपनी ने दावा किया कि हमलावर की गवाही के अनुसार, उसके हार्ड ड्राइव में केवल लगभग 3,000 रिकॉर्ड सहेजे गए थे और बाद में मिटा दिए गए। नियामकों और निजता अधिकारों के समर्थकों ने इस रुख की तीखी आलोचना की है। उनके मुताबिक, कंपनी नियामकीय और प्रतिष्ठा संबंधी नुकसान को कम करके दिखाने की कोशिश कर रही है।
चोई वू-ह्योक ने प्रेस वार्ता में इस व्याख्या को सीधे चुनौती दी। उन्होंने जोर देकर कहा कि दक्षिण कोरिया के डेटा सुरक्षा मानकों के तहत निजी जानकारी वाले पन्नों तक अनधिकृत पहुंच डेटा सेंध मानी जाती है, भले ही डेटा स्थानीय तौर पर सहेजा गया हो या कहीं और भेजा गया हो।
इसे केवल पहुंच कहना कंपनी की जवाबदेही कम नहीं करता। 3,000 रिकॉर्ड का आंकड़ा केवल कंपनी का दावा है और महज संदर्भ के तौर पर काम आता है। हमने सभी सामग्री की स्वतंत्र रूप से पुष्टि की। हमने कूपांग के सर्वरों की जांच की कि बाहरी हमलावरों ने कितना डेटा देखा और कितना लीक हुआ।
सरकार के निष्कर्षों पर प्रतिक्रिया देते हुए कूपांग के एक प्रतिनिधि ने कहा कि डिलीवरी सूची वाले पन्ने तक 14.8 करोड़ बार पहुंचना, जानकारी के उल्लंघन के पैमाने का संकेत नहीं है। प्रवक्ता ने इसे 3.37 करोड़ खातों से जुड़ी अलग-अलग निजी जानकारी जुटाने की कोशिशें बताया, न कि 14.8 करोड़ अलग-अलग डेटा सेंधों का सबूत। हालांकि, सरकारी अधिकारियों ने कहा कि इतनी बड़ी संख्या में पहुंच के अनुरोध हमलावर की व्यापक उपयोगकर्ता प्रोफाइल जुटाने की क्षमता दिखाते हैं।
इस अंतर से जाहिर होता है कि कंपनियां और नियामक डेटा सेंध को बुनियादी तौर पर अलग-अलग तरह से परिभाषित करते हैं। कूपांग हमलावर द्वारा डेटा सहेजे जाने की पुष्टि पर ध्यान देता है, जबकि अधिकारी निजी जानकारी को अनधिकृत रूप से देखे जाने को भी लीक मानते हैं, खासकर जब विदेश में डेटा भेजने के लिए बनाई गई प्रणालियों के सबूत भी हों।
भू-राजनीतिक असर और अमेरिका में कानूनी दबाव
यह सेंध घरेलू साइबर सुरक्षा घटना से आगे बढ़कर दक्षिण कोरिया और अमेरिका के बीच एक अहम द्विपक्षीय मुद्दा बन गई है। अमेरिका में सूचीबद्ध कंपनी होने और अमेरिकी निवेशकों के बड़े समर्थन के कारण कूपांग पर उन अमेरिकी सांसदों का ध्यान गया है, जो दक्षिण कोरिया की कड़ी नियामकीय कार्रवाई को अमेरिकी कंपनी को निशाना बनाने वाला भेदभावपूर्ण कदम मानते हैं।
अंतरिम सीईओ हेरोल्ड रॉजर्स को कई मोर्चों पर बढ़ते कानूनी दबाव का सामना करना पड़ रहा है। सेंध के बारे में गवाही से जुड़े झूठी गवाही के आरोपों पर दक्षिण कोरियाई पुलिस ने रॉजर्स से लगभग 12 घंटे पूछताछ की। इसी बीच, अमेरिकी प्रतिनिधि सभा की न्यायपालिका समिति ने इस घटना के संबंध में 23 फरवरी, 2026 को गवाही देने के लिए रॉजर्स को समन भेजा है। कांग्रेस की जांच यह देख रही है कि क्या कोरियाई नियामक अमेरिका में सूचीबद्ध कंपनियों पर अनुचित बोझ डाल रहे हैं।
न्यूयॉर्क की संघीय अदालत में दायर एक सामूहिक मुकदमे में कूपांग से दंडात्मक हर्जाने की मांग की गई है। मुकदमे में आरोप है कि कंपनी ने डेटा की पर्याप्त सुरक्षा नहीं की और सेंध के दायरे के बारे में भ्रामक खुलासे किए। यह कानूनी कार्रवाई उन निवेशकों और उपयोगकर्ताओं की ओर से है, जिनका दावा है कि सुरक्षा विफलताओं और बाद में कंपनी द्वारा घटना की गंभीरता कम करके दिखाने से उन्हें नुकसान हुआ।
सियोल में काम कर रही कुछ बहुराष्ट्रीय कंपनियों ने निजी तौर पर चेतावनी दी है कि नौ एजेंसियों और सैकड़ों अधिकारियों को शामिल करते हुए कई सरकारी एजेंसियों की यह कार्रवाई, घरेलू कंपनियों के साथ हुए व्यवहार की तुलना में अभूतपूर्व है। वे 2025 में एसके टेलीकॉम में हुई उस सेंध का उदाहरण देती हैं, जिसमें 2.7 करोड़ रिकॉर्ड प्रभावित हुए थे, लेकिन ऐसी ही जांच नहीं हुई। उनके अनुसार यह अलग व्यवहार का सबूत है। हालांकि, विज्ञान और आईसीटी मंत्रालय ने कानूनी सिद्धांतों से किसी भी विचलन से साफ इनकार किया और जोर देकर कहा कि कूपांग के साथ वैसा ही व्यवहार किया गया जैसा समान उल्लंघनों का सामना करने वाली किसी भी कंपनी के साथ होता।
राष्ट्रपति ली जे-म्युंग ने सार्वजनिक रूप से दक्षिण कोरिया को दुनिया का सबसे अच्छा निवेश गंतव्य बनाने का वादा किया है। इससे डेटा सुरक्षा नियमों को सख्ती से लागू करने और विदेशी निवेश के लिए अनुकूल माहौल बनाए रखने के बीच तनाव पैदा हुआ है। कूपांग का मामला अब इस बात की कसौटी बन गया है कि सियोल उपभोक्ता निजता की सुरक्षा और अंतरराष्ट्रीय व्यापार संबंधों के बीच संतुलन कैसे बनाता है।
नियामकीय नतीजे और कारोबारी जोखिम
देर से सूचना देने पर तत्काल जुर्माने के अलावा, कूपांग को गंभीर नियामकीय कार्रवाई का खतरा है। फेयर ट्रेड कमीशन ने कारोबार निलंबित किए जाने की संभावना के बारे में चेतावनी दी है। यह कड़ा कदम कंपनी का संचालन पूरी तरह रोक देगा। आयोग कर जांच भी कर रहा है और उसे संस्थापक बॉम किम तथा पूर्व अधिकारियों के खिलाफ संसदीय शिकायत मिली है।
5 फरवरी, 2026 को एक अलग खुलासे में सामने आया कि 1,65,000 अतिरिक्त उपयोगकर्ता रिकॉर्ड भी प्रभावित हुए। इस दूसरी घोषणा से जनता का आक्रोश और बढ़ा और यह धारणा मजबूत हुई कि कंपनी के शुरुआती आकलन में नुकसान को कम करके बताया गया था।
उद्योग विश्लेषकों का कहना है कि इस मामले ने दक्षिण कोरिया के उपभोक्ता मंचों के लिए अनुपालन के नए मानक तय किए हैं। सरकार ने पहुंच की विशिष्ट संख्या और समय-सीमा के विश्लेषण समेत हमले का विस्तृत पुनर्निर्माण पेश किया है। इससे संकेत मिलता है कि वह बड़ी मात्रा में निजी डेटा संभालने वाली अन्य कंपनियों पर लागू होने वाली स्पष्ट नियंत्रण संबंधी शर्तें तय करना चाहती है।
कूपांग उपयोगकर्ताओं के लिए प्रभावित डेटा से वास्तविक सुरक्षा जोखिम पैदा होते हैं। डिलीवरी पते, फोन नंबर और इमारतों के प्रवेश पासवर्ड ग्राहकों को पीछा किए जाने, निशाना बनाकर धोखाधड़ी किए जाने और शारीरिक सुरक्षा के खतरों के प्रति असुरक्षित बनाते हैं। भुगतान कार्ड की सेंध के विपरीत, जिसमें वित्तीय संस्थान कार्ड रद्द करके और निगरानी रखकर नुकसान कम कर सकते हैं, पते और संपर्क की जानकारी हमेशा संवेदनशील बनी रहती है। उपयोगकर्ता खातों में सहेजे गए परिवार या दोस्तों के पतों जैसे तीसरे पक्ष के पते शामिल होने से प्रभावित लोगों की संख्या सीधे कूपांग ग्राहकों से आगे तक बढ़ जाती है।
मुख्य बातें
- कूपांग के 3.367 करोड़ उपयोगकर्ता खातों से डेटा लीक होने की पुष्टि हुई, जिससे दक्षिण कोरिया की लगभग दो-तिहाई आबादी प्रभावित हुई
- एक पूर्व कर्मचारी ने प्रमाणीकरण साइनिंग की चुराई और अप्रैल से नवंबर 2025 के बीच अनधिकृत पहुंच बनाई
- हमलावर ने डिलीवरी सूची वाले पन्नों को 14.8 करोड़ बार देखा, जिससे पते, फोन नंबर और इमारतों के प्रवेश कोड उजागर हुए हो सकते हैं
- विज्ञान और आईसीटी मंत्रालय ने घटना को स्पष्ट प्रबंधन विफलता बताया और देर से सूचना देने तथा साक्ष्य नष्ट करने के लिए कूपांग को जिम्मेदार ठहराया
- अंतरिम सीईओ हेरोल्ड रॉजर्स से कोरिया में पुलिस पूछताछ कर रही है और उन्हें 23 फरवरी, 2026 को अमेरिकी कांग्रेस में पेश होने के लिए समन मिला है
- न्यूयॉर्क की संघीय अदालत में दायर अमेरिकी सामूहिक मुकदमे में दंडात्मक हर्जाने की मांग की गई है
- फेयर ट्रेड कमीशन ने कारोबार निलंबित किए जाने की संभावना के बारे में चेतावनी दी है और कर जांच कर रहा है
- 5 फरवरी, 2026 को मुख्य सेंध से अलग 1,65,000 अतिरिक्त रिकॉर्ड का खुलासा हुआ
- कूपांग को महीने के अंत तक रोकथाम के उपाय पेश करने होंगे और सरकारी निरीक्षण जून तथा जुलाई में होगा
