La violation massive des données de Coupang en Corée du Sud est désormais devenue un point d’éclair géopolitique alors qu’un nombre croissant d’investisseurs américains de l’entreprise engagent des poursuites judiciaires contre le gouvernement sud-coréen.
Ce qui a commencé comme une enquête réglementaire sur des failles de sécurité des données s’est transformé en un différend plus large sur un prétendu traitement injuste de la société basée aux États-Unis.
Alors que Coupang – qui opère en Corée du Sud, à Taiwan et au Japon – est souvent surnommé « l’Amazonie de la Corée du Sud », son siège mondial se trouve en réalité à Seattle, Washington.
Les investisseurs de la société sollicitent désormais un arbitrage international dans le cadre de l’accord de libre-échange (ALE) entre les États-Unis et la Corée. Le 23 janvier 2026, les sociétés d’investissement américaines Greenoaks et Altimeter ont déposé une notification auprès du ministère sud-coréen de la Justice, affirmant qu’elles avaient subi des pertes du fait de ce qu’elles ont qualifié d’enquête discriminatoire menée par le gouvernement sur la violation de données. Ils ont déclaré qu’ils prévoyaient de recourir à l’arbitrage pour le règlement des différends entre investisseurs et États (RDIE) dans le cadre de l’ALE entre les États-Unis et la Corée.
Le ministère sud-coréen de la Justice a déclaré jeudi que trois autres investisseurs, dont Abrams Capital, Durable Capital Partners et Foxhaven Asset Management, avaient désormais rejoint l’affaire. Ils allèguent que le gouvernement a agi illégalement envers l’entreprise de commerce électronique.
Pour récapituler l’incident : en décembre, Coupang a révélé que près de 34 millions d’informations personnelles de clients coréens avaient été divulguées lors d’une violation de données qui durait depuis plus de cinq mois. La violation concernait les noms de clients, les adresses e-mail, les numéros de téléphone, les adresses de livraison et certains historiques de commandes, a indiqué la société.
Alors que d’autres violations technologiques en Corée ont entraîné des sanctions gouvernementales moins sévères, Coupang a été confronté à une pression extraordinaire. Le gouvernement aurait menacé d’amendes massives, de suspension des opérations et d’interdiction de voyager pour les dirigeants, tandis que les investisseurs de Coupang affirment qu’il a également cherché à bloquer la communication publique et a déformé à plusieurs reprises la portée de la violation.
Événement Techcrunch
Boston, Massachusetts
|
23 juin 2026
La Commission coréenne de protection des informations personnelles (PIPC) a déclaré que plus de 30 millions de comptes Coupang avaient été exposés, mais les faits indiquent que seulement 3 000 comptes ont été concernés, selon les investisseurs de Coupang.
En décembre, le gouvernement sud-coréen et le PIPC ont déclaré que la violation de Coupang était suffisamment grave pour justifier des amendes plus élevées. Selon la loi actuelle, les sanctions sont plafonnées à 3 % des revenus, soit plus de 800 millions de dollars pour Coupang, selon les investisseurs américains, mais certains législateurs ont proposé de relever la limite à 10 % et de l’appliquer de manière rétroactive.
Même si la nouvelle loi était adoptée, elle ne s’appliquerait pas à Coupang, puisque la violation s’est produite avant que les règles ne changent. Mais un député du Parti démocrate du pays a suggéré d’imposer des amendes punitives, soit par le biais d’une nouvelle législation, soit d’une loi parlementaire spéciale, et le PIPC a soutenu cette idée, selon les médias. Le président sud-coréen Lee Jae Myung a également appelé publiquement à de lourdes sanctions, suggérant que l’entreprise n’avait pas subi de conséquences suffisantes.
Sur la base de l’avis d’intention publié par le conseiller juridique des investisseurs, les investisseurs soutiennent que les actions du gouvernement sud-coréen constituent une « attaque sans précédent » contre Coupang. Dans le dossier, ils soutiennent :
L’attaque sans précédent du gouvernement contre une entreprise américaine au profit de ses concurrents coréens et chinois constitue une violation flagrante du Traité, des principes du droit international et du partenariat historique entre la Corée et les États-Unis… La conduite choquante du gouvernement n’a laissé aucun choix aux investisseurs américains. Si le gouvernement ne cesse pas immédiatement ses attaques contre Coupang, ne rétablit pas pleinement la capacité de l’entreprise à exploiter ses activités et ne met pas définitivement fin à sa longue campagne de discrimination contre l’entreprise, alors les investisseurs américains seront contraints de demander des milliards de dollars de dommages et intérêts à la Corée pour protéger leurs investissements à Coupang et remédier aux violations continues du gouvernement par le gouvernement, y compris les tentatives d’expropriation.
Le dépôt est une étape préalable et précontentieuse. Le ministère sud-coréen de la Justice examine actuellement l’avis d’intention, qui donne le coup d’envoi d’une période de consultation obligatoire de 90 jours avant le début de l’arbitrage formel.
Coupang, Abrams Capital et Foxhaven Asset Management n’ont pas répondu à la demande de commentaires de TechCrunch. Durable Capital Partners n’a pas pu être contacté.
Selon le dossier des investisseurs, la gestion des violations de données par la Corée du Sud a été incohérente, citant spécifiquement d’autres violations de données récentes en Corée du Sud, notamment KakaoPay, SK Telecom, Upbit et AliExpress d’Alibaba.
KakaoPay aurait transféré 54 milliards de dossiers clients à Alipay Singapour, mais n’aurait fait face qu’à une amende de 10 millions de dollars et à un avertissement du PDG, tandis que SK Telecom aurait été condamné à une amende de 91 millions de dollars après une violation massive de la carte SIM. Upbit et AliExpress ont également connu une action gouvernementale minime. Les investisseurs affirment que ces exemples mettent en évidence le contraste frappant avec la réponse du gouvernement à Coupang.
Le ministère sud-coréen des Sciences et des TIC a déclaré mercredi que la violation de données de Coupang avait été perpétrée par un ancien employé qui avait travaillé sur les systèmes d’authentification de l’entreprise et était conscient des vulnérabilités du cadre d’authentification et du système de gestion des clés.
Le ministère allègue que Coupang n’a pas signalé la violation à l’Agence coréenne de sécurité de l’Internet et de la sécurité (KISA) dans les 24 heures et n’a pas pleinement mis en œuvre une ordonnance de préservation des données de novembre 2025, ce qui a entraîné la suppression des principaux journaux d’accès au Web et aux applications. Le ministère a renvoyé l’affaire aux enquêteurs et a ordonné à Coupang de soumettre un plan de prévention d’ici février 2026, dont la conformité sera contrôlée jusqu’en juillet.
Coupang a publié une déclaration affirmant que l’employé, un ressortissant chinois, avait accédé aux données de plus de 33 millions de comptes mais n’en avait conservé qu’environ 3 000 avant de les supprimer, et qu’aucune information sensible telle que les données de paiement, les mots de passe ou les pièces d’identité gouvernementales n’avait été consultée.
Coupang a également remplacé son PDG, Park Dae-jun, par Harold Rogers, le principal avocat de sa société mère américaine, en décembre.
Adam Farrar, associé principal au CSIS et analyste géoéconomique principal pour l’APAC chez Bloomberg, a déclaré mardi sur le podcast Impossible State que ce qui a commencé comme une violation majeure de données impliquant Coupang est devenu un problème plus large entre les États-Unis et la Corée du Sud.
Farrar a déclaré que cette affaire amplifie les allégations américaines plus larges de traitement injuste envers les entreprises technologiques américaines, augmentant les risques commerciaux et tarifaires pour la Corée du Sud alors que le Congrès américain s’engage de plus en plus.
« La violation massive de données (par Coupang) a conduit à une série d’enquêtes à l’Assemblée nationale et à des échanges très combatifs avec Coupang et une série de dirigeants au cours des derniers mois », a déclaré Farrar dans le podcast. « La dynamique supplémentaire ici est que Coupang, même si la quasi-totalité de ses bénéfices proviennent de Corée, est désormais une société basée aux États-Unis qui ajoute à la dynamique des deux côtés, ayant un impact sur la façon dont elles sont perçues et perçues. »
Le problème s’étend au-delà de Coupang, soulevant des questions plus larges quant à savoir si la Corée du Sud cible injustement les entreprises américaines, a poursuivi Farrar.
Les critiques soulignent les politiques numériques qui, selon eux, favorisent les entreprises nationales, notamment les frais d’utilisation du réseau imposés aux fournisseurs de contenu comme Netflix, les règles de paiement de l’App Store d’Apple et de Google Play, et les exigences de localisation des données qui limitent les services comme Google Maps pour des raisons de sécurité nationale.
