Gmarket заплатил всем, но не назвал масштаб утечки

Что случилось?

Gmarket — одна из крупнейших торговых площадок Южной Кореи. 28 и 29 октября 2026 года посторонние получили несанкционированный доступ к данным её покупателей, воспользовавшись уязвимостью в программном интерфейсе стороннего сервиса, подключённого к площадке.

Утекли имена, логины, номера телефонов, адреса электронной почты и почтовые адреса. Но главной добычей стали PIN-коды электронных подарочных сертификатов, которые покупатели хранили в своих аккаунтах. Пароли от учётных записей, по заявлению компании, не пострадали.

Дальше произошло то, ради чего всё и затевалось: чужие сертификаты начали гасить. Люди узнавали об этом сами — пытались расплатиться подарочной картой универмага, а система отвечала, что сертификат уже использован. Именно поток таких жалоб в службу поддержки и вскрыл инцидент.

Как компания отреагировала

30 октября Gmarket подтвердила взлом, перекрыла внешние каналы доступа, провела экстренные меры защиты затронутых систем и в тот же день уведомила Корейское агентство по интернету и безопасности. 1 ноября компания разослала пострадавшим персональные письма с извинениями, опубликовала извинение на сайте и отчиталась перед Комиссией по защите персональных данных. Заявление в киберполицию готовится.

Выплаты закрыли к тому же 1 ноября — за четыре дня с момента взлома. Тем, кто потерял деньги, возместили полную номинальную стоимость сертификатов. Тем, чьи данные утекли, но сертификаты уцелели, начислили по 10 000 вон (около 7 долларов) на внутренний счёт площадки — без условий и ограничений. Параллельно началась поэтапная замена PIN-кодов всем владельцам сертификатов.

Что сделано правильно

Сильная сторона этой реакции — скорость и готовность платить не по минимуму. От обнаружения до уведомления регулятора прошли сутки, от взлома до закрытых выплат — четыре дня. Компания не ждала, пока пострадавшие докажут ущерб: она сама связалась с теми, у кого потери подтвердились, и возместила всё.

Ещё важнее выплата тем, кто ничего не потерял. Юридически компания им ничего не была должна: утечка данных без финансовых потерь убытком не считается. Но 10 000 вон получили все, чьи данные оказались в чужих руках. Это признание простой вещи: сам факт утечки — уже вред.

Где реакция слабее, чем кажется

Проблемы начинаются там, где заканчиваются деньги.

Об утечке узнали от клиентов. Двое суток посторонние люди гасили чужие сертификаты, и заметили это владельцы, а не служба безопасности. Быстрая реакция началась с чужой подсказки.

Масштаб так и не раскрыт. Сколько человек пострадало, компания не сообщила. Формулировка «мы компенсировали всем» без числа непроверяема: подтвердить, что «все» — это действительно все, невозможно.

Дыра была в чужом коде. Уязвимость нашли в интерфейсе внешнего сервиса. Для покупателя это различие не значит ничего: он доверял данные площадке, а не её подрядчику.

Точку поставили раньше расследования. Заявление в киберполицию ещё готовилось, обстоятельства не выяснены — а выплаты уже объявлены завершёнными. Совпало это с 2 ноября, днём старта крупнейшей годовой распродажи площадки: в прошлый такой сезон её посетили более 10 миллионов человек. Закрыть неприятный сюжет накануне главной выручки года — решение понятное, но оно превращает компенсацию в способ расчистить витрину.

Выводы для бизнеса

Платите раньше, чем вас заставят. Возмещение по собственной инициативе за четыре дня стоит столько же, сколько через полгода по предписанию регулятора. Репутационный эффект — противоположный.
Платите и тем, кто формально не пострадал. Человек, чьи данные утекли без финансовых потерь, всё равно чувствует себя обманутым. Символическая сумма закрывает это чувство дешевле, чем судебный иск.
Цифра — часть извинения. Отказ назвать число пострадавших обесценивает даже честную компенсацию: аудитория читает умолчание как попытку спрятать настоящий размер проблемы.
Чужой код — ваша ответственность. Подрядчик, подключённый к вашим данным, — это ваш периметр безопасности. Клиенту вы не объясните, что виноват сторонний интерфейс.
Не объявляйте кризис закрытым, пока он не закончился. Заявление «всё улажено» до завершения расследования — обещание, которое легко нарушить одной новой подробностью.

Gmarket сделала то, на что решается меньшинство компаний: заплатила быстро, добровольно и всем. И сама же ослабила эффект, отказавшись назвать цифру. Деньги здесь оказались проще прозрачности — а запоминается аудитории обычно второе.

Источники: Korea JoongAng Daily, Seoul Economic Daily, SBS News, The Kyunghyang Shinmun

Данная публикация подготовлена агентством SERM Online. Для консультации по вопросам управления репутацией в условиях кризиса обращайтесь к специалистам https://serm.online/