クーパン問題とは？3,755万人流出と過去最大6,246億ウォンの課徴金

クーパン問題とは、韓国の通販最大手クーパンから利用者の個人情報が大量に流出し、行政処分・補償・訴訟、さらには米韓の通商摩擦にまで発展した一連の事態を指します。2025年11月の発覚当初は「3,370万アカウント」と報じられましたが、2026年6月に韓国の個人情報保護委員会が処分を出した時点で、対象は非会員を含む約3,755万人分に膨らんでいました。原因も当初言われた外部からのハッキングではなく、退職した元従業員が持ったままだった認証用の署名キーでした。この記事では裏付けの取れた事実だけを時系列で整理し、日本の利用者と企業がそれぞれ何を確認すべきかまでまとめます。

まとめ：クーパン問題で判明している事実

2026年7月末時点で、当局の発表資料と企業の公表資料から確認できる骨子は次のとおりです。

• 流出規模は約3,755万人分。内訳は会員3,322万2,472人と、配送先情報として巻き込まれた非会員433万8,368人
• 不正な照会が続いた期間は2025年4月14日から11月8日まで。クーパンが異常に気付いたのは11月18日、公表は11月29日
• 原因は外部からの侵入ではなく、退職者が保持していた代替認証の署名キーと、アクセス制御・監視の不備
• 2026年6月11日、韓国の個人情報保護委員会が課徴金6,246億8,100万ウォン（約660億円）と過怠料1,680万ウォンを賦課。韓国で過去最大
• クーパンInc.は翌12日にこの処分を不服として行政訴訟の方針を表明しており、金額は確定していない
• 補償は1人5万ウォン相当のクーポン、総額1兆6,850億ウォン規模で2026年1月15日から順次実施
• 日本のフードデリバリー「ロケットナウ」はクーパンの日本子会社が運営しており、流出は韓国の会員基盤で発生した

数字が発表のたびに動いたこと自体が、この事件の性格をよく表しています。まず、規模がなぜ3,370万から3,755万へ変わったのかから見ていきます。

流出規模が3,370万から約3,755万へ膨らんだ経緯

アカウント基準と人数基準という数え方の違い

クーパンが2025年11月29日に公表した「3,370万」は、氏名やメールアドレスが露出したアカウントの数でした。同社の当時の活性顧客数を上回る数字だったため、退会済みや休眠のアカウントも含まれているとみられます。対する約3,755万は、個人情報保護委員会が2026年6月に実在する個人を単位として数え直したものです。2026年2月5日には16万5,000件を超えるアカウントが追加で確認されており、調査が進むほど対象が広がりました。

初報の段階では規模がまるで見えていませんでした。クーパンが政府へ最初に届け出た2025年11月20日の被害は約4,500人分です。その9日後には3,370万アカウントへ跳ね上がり、最終的に当局が確定させた人数はさらに1割以上多くなりました。数字の推移をたどると、初報を被害の全容として受け取ってはいけないことがよく分かります。

企業側の説明と警察の説明が食い違う部分

規模については、企業と捜査当局の見解が今も一致していません。クーパンは公式に、流出者が保存したのは約3,000アカウント分の限られた顧客情報で、その後すべて削除されたと説明しています。一方、ソウル警察庁の朴正保庁長は2026年1月26日、流出はアカウント基準で3,000万件以上に達すると述べました。1万倍の開きです。政府側も副首相が「3,300万件以上」としてクーパンの主張を正面から否定しており、この対立は行政訴訟でも争点になります。

非会員433万人分が巻き込まれた理由

対象に非会員が400万人以上含まれたのは、流出元に配送先情報が入っていたためです。贈り物やまとめ買いの届け先として登録された家族・友人・職場の氏名、電話番号、住所が、本人の意思とは無関係にデータベース上に存在していました。クーパンを一度も使ったことがない人でも、誰かの配送先に登録されていれば対象になり得ます。是正命令に「会員ではない情報主体への流出通知」がわざわざ盛り込まれたのも、この層に届く連絡手段が用意されていなかったためとみられます。

発覚から不服訴訟までのクーパン問題の時系列

主な出来事は次のとおりです。

異常の認知が犯人側からの脅迫メールだった点は見過ごせません。7カ月近く続いた不正な照会を、自社の監視ではなく攻撃者からの接触で初めて知ったことになります。

流出した情報の範囲と決済情報が対象外とされる根拠

調査団が確認した経路はページ単位で特定されています。会員情報の修正ページからは氏名とメールアドレスを含む3,367万3,817件が流出しました。配送先一覧ページは1億4,805万6,502回も照会されており、ここには氏名・電話番号・配送先住所に加え、特殊文字で非識別化された共同玄関の暗証番号が含まれます。さらに配送先一覧の修正ページが5万474回照会され、こちらでは暗証番号が平文で見える状態でした。注文一覧ページ（最近注文した商品のリスト）への照会は10万2,682回です。

クレジットカード番号や口座情報といった決済関連のデータは含まれていません。不正照会は正規の画面を順に開く形で行われており、決済情報を扱う系統には権限が及んでいなかったとクーパンは説明しています。ただし決済情報が無事だったことは、被害が軽いことを意味しません。集合住宅の共同玄関の暗証番号は物理的な侵入に直結しますし、氏名・住所・直近の注文内容が揃えば実在の注文を装った連絡が組み立てられます。流出した項目が「本人確認の材料」として機能してしまう点に、この事件の実害があります。

原因は外部からの侵入ではなく退職者の認証署名キー

自ら開発した代替認証の署名キーを退職後も使えた経緯

個人情報保護委員会が特定した経路は、クーパン在籍時に代替認証の仕組みを自ら開発していた元従業員が、その署名キーを取得したまま退職したというものでした。署名キーは本人確認を通過したことを証明するための鍵で、これを握られると正規の利用者になりすませます。元従業員は2025年4月から11月にかけて海外から会員情報の各ページを照会し続けました。

当局はこれを高度なサイバー攻撃ではなく、基本的な安全管理体制の不備と位置付けています。退職者の認証情報を失効させるという、どの企業の運用規程にも書かれている手順が実行されていませんでした。村田製作所の情報漏洩（2026年不正アクセス）のように外部からの侵入が起点となる事例と比べると、防ぐための技術的な難易度はむしろ低い部類でした。

7カ月近く検知できなかったアクセス制御と監視の欠落

もうひとつの失敗は検知の側にあります。海外からの接続で、会員情報の修正ページを1億回を超える規模で開き続けるという挙動は、通常の利用パターンから明確に外れます。それでも4月から11月まで警報が上がりませんでした。大量照会に対する速度制限、接続元の地域による制御、退職者アカウントの棚卸しといった仕組みが機能していなかったからです。個人情報保護委員会は課徴金の理由として、認証署名キーの管理と接近統制の双方が欠けていた点を挙げました。

韓国で過去最大となった課徴金と是正命令

課徴金6,246億8,100万ウォンの内訳

2026年6月10日の全体会議で議決され、翌11日に公表された処分の内容は次のとおりです。

金額は従来最高だったSKテレコムの事案の約4.6倍にあたり、同委員会が前年1年間に科した課徴金の総額と比べても約4倍の規模です。注目すべきは、この金額が流出だけを理由としていない点です。クーパンInc.が米証券取引委員会へ提出した開示によると、総額約4億1,000万ドルのうち流出に関する分は約2億7,800万ドルで、残る約1億3,200万ドルは第三者広告プログラムに関するデータの収集・保管をめぐる違反に対するものでした。クーパンは自社広告が表示される第三者のサイトやアプリについて、約1,117万人分の訪問履歴・時刻・IPアドレスを同意なく収集し、個人を特定できる形で保存していたと認定されています。守れなかった問題と、集めてはいけないものを集めた問題が同じ処分に含まれている構図です。

是正命令で求められた再発防止措置

是正命令は、安全措置の強化、非会員である情報主体への流出通知の実施、最高個人情報保護責任者（CPO）が実質的に機能する体制の確保などを柱としています。履行状況は3カ月以内に確認される枠組みです。CPOの実質化が名指しで求められた点には、責任者を置いてはいたものの権限が伴っていなかったという評価が表れています。

処分はまだ確定していない

この課徴金は最終決着ではありません。公表の翌日にあたる2026年6月12日、クーパンInc.は米証券取引委員会への開示で、個人情報保護委員会の判断は司法の審査を受けるべきだとして、ソウル行政法院で司法救済を積極的に進める方針を明示しました。金額が維持されるか減額されるかは、今後の行政訴訟の結果次第です。

補償1兆6,850億ウォンと経営責任、業績への波及

1人5万ウォン相当のクーポンという補償の中身

クーパンは2025年12月29日、対象者1人あたり5万ウォン相当を配布する補償策を発表しました。対象はワウ会員・一般会員・退会済みの顧客を含む約3,370万人で、総額は1兆6,850億ウォンに上ります。支給は2026年1月15日から順次進められました。ただし配布されたのは現金ではなく自社サービスで使うクーポンです。額面の総額は課徴金の2.7倍にあたりますが、実際に利用者の手元に残る価値は利用条件に左右されるため、金額だけを並べて手厚さを測ることはできません。

代表の辞任、聴聞会欠席、決算への影響

経営責任としては、朴大俊代表が2025年12月10日に全ての職を辞しました。一方で創業者の金範錫議長は、6つの常任委員会による12月30〜31日の国会連席聴聞会に「海外居住中」を理由として出席せず、この対応自体が韓国国内で強い批判を招きました。

業績面では2026年1〜3月期の決算に影響が表れています。売上高85億ドルに対し、営業損失2億4,200万ドル、純損失2億6,600万ドルを計上しました。12億ドル規模の補償クーポンは売上から控除される扱いで、調整後EBITDAマージンは0.3%まで下がり、前年同期比で約450ベーシスポイントの縮小です。会社は2026年4〜6月期についても300〜400ベーシスポイントの縮小が続くとの見通しを示しました。利用者の動向は一様ではありません。Product Commerceのアクティブ顧客は2,390万人で前年同期比では2%増えたものの、前四半期比では3%減っています。WOW会員については、2026年4月末までに事件後の減少分の約8割を解消したと経営陣が説明しました。

捜査の現状と集団訴訟の進み方

被疑者を特定しても身柄に届かない構図

警察は中国籍の元従業員を被疑者として立件し、身元も特定しています。しかし捜査は身柄の確保という壁の前で止まりました。韓国と中国のあいだには犯罪人引渡条約が結ばれているものの、中国側がこれまで引渡請求に応じた事例がないためです。被疑者が国外にいる内部不正では、原因究明が終わっても刑事責任の追及だけが宙に浮くことになります。

韓国国内の損害賠償請求と米国の証券集団訴訟

民事では2025年12月27日の提訴を皮切りに損害賠償請求が積み上がっています。ある法律事務所が代理する分だけでも、2026年4月までに11件・原告合計47,311人の訴状が提出され、被告側の答弁を経て弁論期日に入った案件もあります。請求されている慰謝料は1人あたり30万ウォンが中心です。米国では株価下落を受けた投資家が証券集団訴訟を提起しました。

米韓の通商問題へ発展した「クーパン問題」

日本語で「クーパン問題」と検索すると、情報流出そのものより外交面の記事が上位に並ぶことがあります。米国上場企業であるクーパンへの韓国当局の処分が、米韓の通商案件として扱われ始めたためです。2026年7月1日、米下院司法委員会は韓国の差別的な法執行に関する報告書を公表し、韓国政府が米国企業を狙って規制を強めているという内容を盛り込みました。同委員会は2月23日に予定した公聴会へクーパン韓国法人の暫定代表ハロルド・ロジャース氏を招致しており、韓国政府の説明が受け入れられなかったとの見方が出ています。

この構図は、大量の個人データを扱う企業がグローバルに展開したときのリスクを示しています。一国の規制当局が科した制裁が、その企業の本国では自国企業への差別的な扱いと受け取られ、通商交渉の材料になり得るということです。データ保護の執行が国内問題として完結しなくなっている点は、日本で越境サービスを運営する企業にとっても他人事ではありません。

日本の利用者への影響とロケットナウの扱い

日本のロケットナウはどう位置付けられるか

日本での「クーパンは怪しいのか」という関心の中心は、フードデリバリーのロケットナウです。今回の流出は韓国国内のクーパンの会員基盤で発生したもので、照会に使われたのも韓国側の会員情報ページと配送先管理ページでした。日本のロケットナウを運営しているのはクーパンの日本子会社であるCP One Japan合同会社で、被害の集計も韓国の会員・非会員で構成されています。なお、日本の利用者を対象外とする旨をクーパンが公式に発表した資料は確認できていません。心配な場合はロケットナウの運営元へ直接問い合わせるのが確実です。

韓国のクーパン本体にアカウントを作って越境購入をしていた場合は事情が異なります。会員として登録した氏名・メールアドレス・電話番号・配送先が対象に含まれている可能性があるため、パスワードを他サービスと使い回している人は速やかに変更してください。使い回しの解消と合わせて、多要素認証（MFA）を有効にできるサービスでは有効化しておくと、認証情報が漏れた後の被害を抑えられます。

クーパンをかたる詐欺メッセージの見分け方

流出情報を使った詐欺は、この事件で最も現実的なリスクです。氏名・住所・電話番号・注文履歴が揃っているため、「あなたの注文が」と具体的に語りかける文面が作れます。判断の基準は文面の自然さではなく、次の点に置いてください。

• メッセージ内のリンクを開かず、公式アプリまたはブックマークから注文状況を確認する
• 差出人が正しく見えても、送信元アドレスやドメインは詐称できる前提で扱う
• 認証コードや暗証番号を尋ねる連絡は、名乗った相手が誰であれ応じない
• 補償・返金・配送料の名目で決済情報の再入力を求める画面は入力せず閉じる

手口の構造を知っておくと判断が速くなります。フィッシング詐欺の成立の仕組みと技術的対策で説明しているとおり、攻撃側は本物に似せたドメインと、確認を急がせる文面の組み合わせで判断力を削ります。同じ流れはユニバーサルミュージックの個人情報流出（310万件）の後にも起きました。大規模な流出の後には同種の便乗詐欺が続くと考えて構いません。

日本企業が潰すべき退職者アカウントと鍵の失効設計

クーパン問題の技術的な中身は、日本の事業会社にそのまま当てはまります。守るべき境界は外部との接点ではなく、いったん内部に発行した認証情報の寿命でした。次の4点は、この事件の失敗を裏返したものです。

• 退職手続きに、アカウント停止だけでなくAPIキー・署名キー・トークンの失効を項目として組み込む
• 署名キーは個人が生成・保持できる形にせず、発行元と有効期限を管理台帳で追える状態にする
• 会員情報や配送先を返す画面には、1アカウントあたりの照会回数に上限を設け、超過を警報に接続する
• 認証基盤を設計した担当者ほど権限が集中するため、設計者と鍵の運用者を分ける

特に3点目は抜けやすい割に、既存のAPIゲートウェイやWAFのレート制限機能で実装できる範囲に収まります。今回の不正照会は、既存の権限で正規の画面を1億回超も開くという、脆弱性を突かない形で行われました。侵入の検知だけを見ている監視では、この挙動は素通りします。誰が正しい鍵を使っているかではなく、正しい鍵がどれだけ異常な頻度で使われているかを見なければなりません。

採用してはいけない運用も明確です。退職者の権限失効を情報システム部門の手作業チェックリストだけに委ねる方式は、規模が数百人を超えた時点で必ず取りこぼしが出ます。人事システムの退職イベントを起点に各サービスの権限を自動で失効させる経路を持たない限り、クーパンと同じ穴が残ります。

令和8年改正個人情報保護法の課徴金制度との関係

日本でも制度は動きました。改正個人情報保護法（令和8年法律第56号）が2026年7月10日に成立し、同月17日に公布されています。この改正で初めて課徴金制度が導入され、本人の数が1,000人を超える不正取得・不適正利用・違法な第三者提供などについて、個人情報保護委員会が不当利得相当額の納付を命じられるようになりました。施行は段階的で、一部が2027年1月に、主要部分は公布から2年以内の政令で定める日とされています。

ここで押さえておくべき点があります。日本の課徴金の対象となる違反類型に、安全管理措置義務違反（すなわち漏えいさせたこと自体）は含まれていません。仮に日本で同じ規模の流出が起きても、韓国のように漏えいを理由として数百億円規模の課徴金が科される仕組みにはなっていないのです。中心的な制裁は委員会による命令とその違反に対する罰則、そして民事の損害賠償という組み合わせになります。改正法の全体像は令和8年改正個人情報保護法で企業対応がどう変わるかで整理しています。

ただし、クーパンが処分を受けた2つ目の理由である約1,117万人分の活動記録の無断収集は、日本の新しい課徴金制度が想定する不正取得・不適正利用に近い性質を持ちます。広告配信のために第三者サイトでの行動を取得し、個人と紐づけて保存する運用を抱えている企業は、漏えい対策とは別の軸で取得の適法性を点検しておくべきです。日本企業にとっての本当の警告は、流出の側ではなくこちらにあります。

よくある質問

クーパン問題とは結局どういう事件ですか？

3つの層が重なった事態です。第一に、退職した元従業員の署名キーを使って約3,755万人分の個人情報が照会され続けた流出。第二に、約1,117万人分のオンライン活動記録を同意なく収集していた違法収集。第三に、韓国当局の処分が米国上場企業への差別的な執行だとして米韓の通商問題に発展した外交面です。日本語で「クーパン問題」と言うとき、どの層を指しているかで話がかみ合わないことがあります。

クーパンは怪しいサービスなのでしょうか？

サービスの仕組み自体が不正だったわけではなく、問題は運営体制にありました。当局は高度な攻撃ではなく、退職者の認証情報を失効させていなかった基本的な管理不備が原因と認定しています。是正命令の履行が3カ月以内に確認される枠組みが動いているので、利用を続けるかどうかは再発防止策の実行状況で判断するのが現実的です。

日本でロケットナウを使っていましたが、情報は流出しましたか？

今回の流出は韓国のクーパンの会員基盤で発生したもので、日本のロケットナウはCP One Japan合同会社という別法人が運営しています。ただし日本の利用者を対象外とする公式発表は確認できていないため、断定はできません。韓国のクーパン本体に会員登録して利用していた場合は対象に含まれる可能性があるので、パスワードの変更と使い回しの解消を行ってください。

クーパンをかたる詐欺メッセージが届いた場合はどうすればよいですか？

メッセージ内のリンクは開かず、公式アプリかブックマークした正規サイトから注文状況を確認してください。氏名や注文内容が正確に書かれていても本物である証拠にはなりません。それらは流出した項目そのものだからです。認証コードや決済情報を尋ねる連絡には応じないでください。

クーパンの業績にはどの程度の影響が出ましたか？

2026年1〜3月期は売上高85億ドルに対して純損失2億6,600万ドルを計上し、調整後EBITDAマージンは0.3%まで下がりました。4〜6月期も前年同期比300〜400ベーシスポイントの縮小が続く見通しです。

関連記事

• 個人情報保護法改正とは？2026年成立の令和8年改正で企業対応はこう変わる
• ユニバーサルミュージック個人情報流出（310万件）｜対象確認と今すべき対処・詐欺対策
• 村田製作所の情報漏洩（2026年不正アクセス）｜原因・被害範囲8.8万件と取引先の対策
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説
• 多要素認証（MFA）とは？3つの認証要素と実装方式・耐フィッシングMFAを実装視点で解説