Imaginez recevoir un mail anodin un dimanche matin vous informant que vos nom, adresse, numéro de téléphone et historique d’achats circulent depuis cinq mois sur des serveurs étrangers. C’est exactement ce qui est arrivé à près de 34 millions de clients coréens de Coupang, le « Amazon coréen ». Une brèche d’une ampleur colossale qui rappelle brutalement que même les géants de l’e-commerce ne sont à l’abri d’aucune faille.
Dans un monde où la data est le nouveau pétrole, cette fuite massive interroge directement les entrepreneurs, les responsables marketing et les fondateurs de startups : jusqu’où votre croissance peut-elle reposer sur une confiance numérique qui peut s’effondrer du jour au lendemain ?
Que s’est-il réellement passé chez Coupang ?
Le 18 novembre 2025, l’équipe sécurité de Coupang détecte une activité suspecte sur seulement 4 500 comptes. Rien d’alarmant à première vue. Mais l’enquête approfondie révèle l’ampleur du désastre : depuis le 24 juin 2025, un accès non autorisé a siphonné les données de 33,7 millions de comptes, soit pratiquement l’ensemble de la base clients sud-coréenne.
Les données compromises incluent :
- Noms complets
- Adresses e-mail
- Numéros de téléphone
- Adresses de livraison
- Historiques partiels de commandes
Bonne nouvelle (si l’on peut dire) : les informations de paiement, numéros de carte bancaire et mots de passe n’ont pas été touchés. Mais dans un pays où le phishing et les arnaques par SMS sont légion, disposer du trio nom + téléphone + adresse est déjà un cadeau empoisonné pour les cybercriminels.
Un ex-employé chinois pointé du doigt
La police sud-coréenne a rapidement identifié un suspect principal : un ancien employé chinois de Coupang, aujourd’hui à l’étranger. L’accès aurait été réalisé via des serveurs overseas, ce qui complique évidemment les poursuites.
« Selon l’investigation, l’accès non autorisé à des informations personnelles a débuté le 24 juin 2025 via des serveurs étrangers »
– Communiqué officiel Coupang
Ce cas illustre parfaitement le risque « insider threat » que beaucoup de startups sous-estiment au moment de scaler à l’international et d’embaucher massivement dans plusieurs pays.
Coupang, un habitué des fuites de données
Ce n’est malheureusement pas la première fois. On compte déjà :
- 2020-2021 : plusieurs incidents touchant clients et livreurs
- Décembre 2023 : plus de 22 000 vendeurs impactés via le système de gestion des marchands
- Novembre 2025 : la mère de toutes les fuites
À chaque fois, l’entreprise promet de renforcer ses défenses. À chaque fois, une nouvelle brèche apparaît. Cela pose la question de la maturité sécurité d’une scale-up valorisée plus de 60 milliards de dollars qui a privilégié la vitesse d’exécution au détriment, peut-être, de la robustesse.
Les conséquences business immédiates
Au-delà du scandale médiatique, les impacts concrets sont lourds :
- Perte de confiance : en Corée, Coupang c’est l’application que tout le monde a sur son téléphone. Une érosion de confiance peut pousser les utilisateurs vers Naver Shopping, 11Street ou les marketplaces de Kakao.
- Risques d’amendes : la Personal Information Protection Act (PIPA) coréenne est l’une des plus strictes d’Asie. Les sanctions peuvent atteindre 3 % du chiffre d’affaires mondial.
- Coûts de remédiation : audits externes, renforcement des accès, communication de crise, indemnisation potentielle… la facture va se compter en dizaines de millions de dollars.
- Impact boursier : l’action Coupang (cotée au NYSE) a déjà perdu plus de 8 % en quelques heures après l’annonce.
Ce que les startups et e-commerçants doivent retenir
Cette affaire est un cas d’école. Voici les leçons actionnables :
1. La sécurité n’est jamais “finie”
Une politique de sécurité figée à la série A ne passe pas la barre de la série D. Il faut un budget sécurité qui croît proportionnellement au volume de données traitées.
2. Le risque humain reste le maillon faible
90 % des breaches impliquent une erreur ou une action malveillante d’un employé ou ex-employé. Mettez en place :
- Revocation immédiate et automatisée des accès dès le départ d’un collaborateur
- Principle of least privilege (accès minimum nécessaire)
- Audits réguliers des comptes à privilèges
3. Segmentez vos données
Pourquoi les historiques de commande étaient-ils accessibles avec les noms et adresses ? Une bonne architecture zero-trust rend ce type de fuite massive presque impossible.
4. Préparez votre plan de crise AVANT
Coupang a mis plusieurs jours à communiquer clairement. Chaque heure de silence alimente les spéculations et la défiance.
Et demain ? Vers plus de régulation en Asie
La Corée du Sud, Singapour et bientôt le Japon durcissent leurs lois sur la protection des données. Les entreprises étrangères qui opèrent dans la région n’auront plus le choix : se mettre au niveau européen (RGPD) ou risquer des amendes dissuasives et des interdictions pures et simples.
Pour les startups françaises ou européennes qui lèvent des yeux vers l’Asie, c’est un signal fort : la conformité n’est plus une option, c’est un avantage compétitif.
Conclusion : la data, c’est du pétrole… mais inflammable
L’histoire de Coupang nous rappelle une vérité brutale : plus vous collectez de données, plus vous devenez une cible. Et plus la chute est douloureuse quand la confiance s’effrite.
Pour les entrepreneurs qui lisent ces lignes : la prochaine fuite massive, ce pourrait être la vôtre. La question n’est plus « si » cela va arriver, mais « quand » et surtout « serez-vous prêt ? ».
La cybersécurité n’est pas un centre de coûts. C’est l’assurance-vie de votre relation client à l’ère numérique.
