Pengajaran Besar Pencerobohan Data Coupang untuk E-Dagang

Lebih 25 juta pengguna. Itu anggaran kasar bila laporan awal menyebut pencerobohan data di gergasi runcit Korea Selatan, Coupang, menjejaskan lebih separuh populasi negara. Dalam beberapa hari, CEO meletak jawatan, pelanggan panik, dan reputasi jenama tercalar teruk.

Ini bukan sekadar isu Korea Selatan. Untuk pemain e-dagang besar di Asia Tenggara — Shopee, Lazada, TikTok Shop, PG Mall, malah rangkaian seperti Lotus’s atau AEON yang makin agresif dalam omni-channel — insiden Coupang adalah amaran jelas: AI untuk pemasaran dan personalisasi tanpa AI untuk keselamatan data ialah resipi bencana.

Dalam siri “AI in Retail & E-Commerce (Large Chains & Marketplaces)” ini, fokus biasanya pada ramalan inventori, dinamik harga, dan personalisasi. Kali ini, kita ambil laluan yang ramai abaikan: bagaimana AI sepatutnya menjadi benteng pertama siber untuk runcit dan e-dagang, dan apa pengajaran praktikal daripada krisis Coupang untuk pasukan IT, CISO, dan pengurusan.

---

Apa Yang Berlaku di Coupang – Dan Kenapa Ia Patut Menakutkan Semua Pemain E-Dagang

Inti masalahnya mudah: pencerobohan data berlaku, dan skala impaknya besar. Media melaporkan data pengguna Coupang — termasuk maklumat peribadi asas dan maklumat akaun — terdedah, melibatkan lebih separuh penduduk Korea Selatan. CEO akhirnya melepaskan jawatan, satu isyarat kepada pasaran bahawa isu ini bukan “insiden kecil” tapi krisis tadbir urus dan kepercayaan.

Kenapa pencerobohan ini sangat serius

Bagi pelanggan, pencerobohan data bukan sekadar masalah kata laluan bocor.

Risikonya termasuk:

• Pencurian identiti – Data nama penuh, nombor telefon, alamat, dan rekod transaksi boleh digabung dengan data lain untuk penipuan kewangan.
• Serangan phishing yang sangat meyakinkan – Penyerang boleh hantar SMS atau emel palsu berkaitan pesanan sebenar pelanggan.
• Kehilangan kepercayaan jangka panjang – Sekali pelanggan rasa tak selamat, mereka akan lebih berhati-hati guna kad kredit atau simpan maklumat dalam platform.

Untuk pemain e-dagang besar, ini membawa kepada:

• Kos pematuhan dan undang-undang
• Kenaikan kos insurans siber
• Gangguan operasi dan fokus pengurusan tertinggi
• Kejatuhan nilai jenama dan kemungkinan nilai pasaran

Realitinya: satu pencerobohan besar boleh memadam manfaat bertahun-tahun pelaburan dalam pemasaran dan pengalaman pelanggan.

---

Salah Besar Ramai Peruncit: AI Hanya Untuk Jualan, Bukan Keselamatan

Kebanyakan rangkaian runcit dan marketplace besar sangat agresif menggunakan AI untuk:

• Cadangan produk (recommendation engine)
• Dinamik harga mengikut masa dan lokasi
• Pengurusan stok “just-in-time”
• Chatbot khidmat pelanggan 24/7

Tetapi apabila masuk bab cybersecurity, strategi mereka jauh ketinggalan. Sistem masih bergantung kepada:

• Peraturan statik (rule-based firewall)
• Log manual yang jarang dianalisis
• Audit berkala yang tidak near real-time

Ini masalah utama: data pelanggan sudah digunakan secara pintar untuk menjual lebih banyak, tetapi tidak digunakan secara pintar untuk mengesan ancaman.

Syarikat seperti Coupang mengendalikan:

• Berbilion rekod transaksi
• Login berjuta-juta pengguna setiap hari
• Ratusan integrasi API dengan rakan niaga dan vendor

Tanpa AI yang memantau pola tingkah laku (behavior analytics), sebarang aktiviti luar biasa — dari dalam atau luar — boleh berlarutan berhari-hari atau berminggu-minggu sebelum dikesan.

---

Bagaimana AI Boleh Menghalang (atau Meminimakan) Pencerobohan Gaya Coupang

Untuk runcit dan e-dagang besar, AI dalam keselamatan bukan lagi “nice to have”. Ia sudah berada di tahap keperluan asas. Berikut tiga lapisan utama di mana AI sepatutnya bekerja setiap masa.

1. AI untuk pengesanan anomali tingkah laku (user & entity behavior analytics)

AI behavior analytics menganalisis corak biasa pengguna dan sistem, kemudian mengesan penyimpangan secara automatik.

Contoh praktikal dalam e-dagang:

• Tiba-tiba ada admin account buat eksport data pelanggan dalam jumlah besar pada 3.17 pagi.
• Pengguna biasa log masuk dari Malaysia selama berbulan-bulan, tiba-tiba ada login sah dari dua negara berbeza dalam 5 minit.
• API yang biasanya hanya memproses 1,000 panggilan sejam tiba-tiba melonjak ke 100,000 dalam 10 minit.

Tanpa AI, semua ini cuma “log teknikal” yang tak dipedulikan. Dengan AI:

• Sistem boleh beri amaran segera kepada SOC (security operations center).
• Sesetengah sistem malah boleh mengunci sesi secara automatik atau memaksa re-authentication.

Secara praktikal, ini boleh jadi perbezaan antara 500 ribu rekod bocor dan 50 juta rekod bocor.

2. AI untuk pemantauan API, integrasi dan rantaian bekalan digital

Marketplace besar bergantung pada integrasi:

• Sistem pembayaran
• Partner logistik
• Aplikasi pihak ketiga (chat, CRM, pemasaran)
• Vendor IT luar

Setiap sambungan API ialah pintu masuk. Dalam banyak kes pencerobohan besar, penyerang masuk melalui pembekal atau integrasi luar, bukan melalui portal pelanggan.

AI boleh:

• Menganalisis trafik API secara berterusan
• Mengesan panggilan luar biasa kepada endpoint sensitif
• Membezakan antara lonjakan trafik “jualan 12.12” vs akses mencurigakan berkaitan data

Untuk pemain besar, ini jauh lebih realistik daripada cuba menulis ribuan peraturan manual yang sukar dikemas kini.

3. AI untuk pengurusan kelemahan (vulnerability management) secara proaktif

Ramai syarikat hanya bergantung pada scan kelemahan berkala dan “patch bila sempat”. Dalam persekitaran microservices, container, dan deployment harian, pendekatan ini terlalu lambat.

Sistem berasaskan AI boleh:

• Memeriksa konfigurasi cloud dan container secara berterusan
• Memberi ranking risiko berdasarkan pendedahan sebenar (exposure-based) — contohnya, satu kelemahan pada server yang terdedah internet jauh lebih kritikal daripada server dalaman
• Mencadangkan langkah pembaikan yang paling memberi impak dengan sumber terhad

Ini penting khususnya untuk peruncit besar di Asia Tenggara yang mungkin berkembang pantas tapi pasukan keselamatan belum cukup besar.

---

5 Pengajaran Konkret daripada Pencerobohan Coupang Untuk Pasukan E-Dagang

Bagi saya, pengajaran utama dari kes Coupang bukan sekadar “tingkatkan keselamatan”. Itu terlalu umum. Berikut lima tindakan spesifik yang boleh mula diambil oleh CISO, CTO, dan pasukan risiko.

1. Treat data pelanggan seperti aset kewangan

Banyak syarikat runcit sudah sangat teliti bab audit kewangan, tetapi jauh lebih lembut bab audit keselamatan data.

Prinsip yang patut diguna:

• Set nilai risiko kewangan untuk data (contoh: pencerobohan 10 juta akaun = X juta ringgit potensi kerugian + saman + denda).
• Layan pelaburan cybersecurity dan AI security sama serius dengan pelaburan sistem pembayaran atau gudang automasi.

2. Gabungkan “AI untuk jualan” dengan “AI untuk keselamatan”

Jika syarikat sudah:

• Menghasilkan model AI untuk recommendation
• Mengumpul data tingkah laku pelanggan sangat terperinci

…maka rangka kerja data sudah cukup matang untuk juga menyokong model AI keselamatan.

Contoh langkah praktikal:

• Feed log login, transaksi, dan admin activity ke dalam satu security data lake.
• Gunakan model ML untuk skor risiko sesi dan akaun (risk-based authentication).
• Integrasikan skor risiko ini ke dalam sistem login dan transaksi berisiko tinggi.

3. Audit siapa yang sebenarnya boleh sentuh data pelanggan

Dalam banyak insiden besar, masalahnya bukan hanya penggodam luar, tapi juga:

• Access dalaman yang terlalu luas
• Akaun servis (service accounts) yang tak dipantau
• Vendor luar yang ada akses data mentah

Langkah wajib:

1. Jalankan review akses berdasarkan prinsip “least privilege”.
2. Gunakan AI/analytics untuk:
   • Kenal pasti akaun yang tak aktif tapi masih ada hak tinggi
   • Kes penggunaan akses yang pelik berbanding rakan sejawatan
3. Log dan pantau semua eksport data berskala besar.

4. Latih pengurusan tertinggi untuk “incident mindset”

Meletak jawatan selepas pencerobohan besar mungkin perlu, tetapi lebih penting ialah bagaimana syarikat bertindak dalam 24-72 jam pertama.

Latihan yang patut dibuat sekurang-kurangnya setahun sekali:

• Simulasi pencerobohan besar (tabletop exercise)
• Uji proses:
  • Siapa umumkan kepada pelanggan, bila, dan apa kandungan mesej
  • Jenis data apa yang mesti dilaporkan kepada pengawal selia dalam tempoh masa tertentu
  • Bagaimana koordinasi antara IT, undang-undang, PR, dan operasi

AI boleh menyokong fasa ini melalui:

• Dashboard insiden yang mengagregatkan log dan memberi gambaran skala sebenar
• Anggaran data terjejas secara automatik untuk keputusan komunikasi lebih cepat

5. Berhenti kejar “feature baru” jika keselamatan tertinggal

Ini satu realiti pahit: produk e-dagang bergerak terlalu laju, dan keselamatan sering jadi mangsa.

Satu pendekatan yang lebih sihat:

• Set KPI pembangunan: tiada major feature baru dilancar tanpa lulus “security gate” yang ada gabungan ujian automasi dan penilaian manual.
• Gunakan AI untuk code analysis dan pengesanan corak kod berisiko sebelum deploy.

Ya, ini mungkin perlahan sikitkan roadmap. Tetapi lebih perlahan jauh lebih murah berbanding menanggung krisis seperti Coupang.

---

Menjadikan AI Keselamatan Sebahagian Teras Strategi E-Dagang 2025

Untuk peruncit besar dan marketplace di Malaysia dan Asia Tenggara, 2025 ialah tahun di mana:

• Peraturan perlindungan data makin ketat
• Pengguna semakin peka isu privasi dan scam
• Ekonomi e-dagang merentas sempadan makin rancak

Dalam konteks ini, AI dalam runcit & e-dagang tak boleh lagi hanya tentang promosi 12.12, 3.3, atau 6.6. Ia perlu meliputi:

• Perlindungan data pelanggan secara menyeluruh
• Pemantauan ancaman masa nyata
• Tindak balas insiden yang data-driven

Coupang menjadi contoh jelas bagaimana satu pencerobohan boleh menjatuhkan kepimpinan tertinggi dan menggoncang kepercayaan pasaran.

Bagi pemain besar di rantau ini, soalan sebenar bukan lagi “Perlukah kita guna AI untuk keselamatan?” tetapi:

Sejauh mana kita sanggup mempertaruhkan reputasi dan nilai syarikat tanpa AI keselamatan yang setaraf dengan skala data dan operasi kita?

Jika syarikat anda sedang rancak melabur dalam AI untuk pemasaran, inventori, dan logistik tetapi belum ada pelan jelas untuk AI dalam cybersecurity, ini masa yang paling sesuai — sebelum insiden seterusnya memaksa tindakan kecemasan.

---

Soalan Untuk Dibawa ke Mesyuarat Seterusnya

Sebagai penutup, tiga soalan ringkas yang saya sendiri akan tanya jika duduk dalam lembaga atau pengurusan e-dagang pada 14/12/2025, 3.00 pm:

1. Jika berlaku pencerobohan seperti Coupang hari ini, berapa cepat kita akan tahu — minit, jam, atau minggu?
2. Di mana AI sedang bantu kita dalam keselamatan sekarang — atau langsung belum ada?
3. Siapa dalam organisasi yang bertanggungjawab menyatukan AI untuk jualan dan AI untuk keselamatan di bawah satu strategi data pelanggan?

Jawapan jujur kepada tiga soalan ini akan tunjuk sama ada syarikat anda benar-benar bersedia, atau sekadar bernasib baik setakat ini.