Gmarket 曝用户信息泄露：外部 API 未授权访问所致，受影响用户可领 1 万韩元
1 万韩元。这是 Gmarket 给每一位「信息被泄露、但电子券还没被人花掉」的用户开出的价码。
11 月 2 日，这家韩国老牌综合电商平台宣布完成对信息泄露事件受影响客户的补偿：电子券被盗用并产生实际损失的，按损失面值全额赔付；没有产生损失的受影响用户，统一发放 1 万韩元 Smile Cash 余额。
事件的起点在 10 月 28 日至 29 日。不法分子利用外部服务应用程序接口的漏洞实施未授权访问，泄露的信息包括客户姓名、账号 ID、电子券 PIN 码、手机号、邮箱和收货地址。登录密码没有泄露。
Gmarket 在 10 月 30 日发现已购电子券的 PIN 码被他人注册使用，当天封堵了未授权的外部访问路径，并向韩国互联网振兴院（KISA）报案。公司至今没有公开受影响人数和损失规模。
一、清单里最要命的是 PIN 码
姓名、手机号、邮箱、地址，这些信息在黑产市场上是标准件，单价以美分计。真正让这次事件升级的，是电子券 PIN 码。
韩国的移动礼品券本质上是记名发行、不记名兑付。谁拿到 PIN 码，谁就能在合作商户处核销，平台侧看到的只是一次正常兑换。据首尔经济日报报道，有客户到客服中心投诉，说自己 Gmarket 电子券盒里的百货店礼品券和文化土地礼品券在毫不知情的情况下被用掉了，等到想用时才发现已被兑换。
这意味着泄露的不是「身份信息」，而是「可以直接变现的提货凭证」。
登录密码没有泄露，听上去是个安慰。但在这类事件里，密码泄露反而是最容易补救的一环——改密码就行。PIN 码对应的是一张已经付过钱的券，钱一旦被核销，追回要靠商户配合和警方介入。
二、1 万韩元的定价逻辑
补偿方案把用户分成了两类：有实际损失的，全额赔；没有损失的，给 1 万韩元。
这套设计在公关上很聪明。全额赔付解决了最激烈的投诉，1 万韩元的统一补偿则用一笔固定成本买断了「我的信息到底值多少钱」这个无法回答的问题。平台不必披露泄露人数，也就不必披露总赔付额。
问题在于，1 万韩元对一个电商用户来说，几乎等于必须回到平台消费才能兑现的代金券。Smile Cash 是站内余额，不能提现，只能在 Gmarket 和 Auction 上花掉。补偿的同时，也把人流留在了站内。
据朝鲜日报报道，Gmarket 表示将在调查过程中确认具体原因和影响范围，损失规模可能随调查变化。这句话留了后手：如果后续发现更大范围的泄露，1 万韩元这个锚点会被重新谈判。
三、为什么偏偏在大促前两天
时间点很难不让人多想。
Gmarket 全年最大的促销活动 Big Smile Day，今年定在 11 月 2 日至 13 日，共 12 天。特价商品从去年的约 1000 个扩到约 3000 个，翻了三倍，还引入了用 AI 分析评论和销量来选品的系统。
今年 5 月的上一届 Big Smile Day，约 3.1 万名卖家参与，两周卖出至少 1500 万件商品，活动商品销售额比活动前两周平均增长 267%。据首尔经济日报报道，今年上半年 Big Smile Day 期间 Gmarket 累计访客超过 1000 万。
流量最高的一周，遇上刚被拖过库的用户。对平台来说，这是最糟糕的时点；对攻击者来说，这是最好的时点——大促期间客服压力大、风控阈值松、用户对账户异动的敏感度也低。
四、这不是第一次
把时间线拉长，Gmarket 在支付和券类资产上已经栽过跟头。
2025 年 11 月 29 日，约 60 名用户向金融监督院报案，称自己的账户在 SmilePay 上被用于购买礼品券，单人损失从 3 万韩元到不足 20 万韩元。Gmarket 当时的判断是撞库：攻击者用在别处泄露的账号密码组合登录，并非系统被入侵。那起事件紧跟在 Coupang 3700 万账户泄露之后。
这一次的路径不同——不是撞库，是外部服务 API 的未授权访问。危害也更直接：不需要拿到密码，只要摸到接口，就能批量读取券码。
同一时期，韩国券类平台接连出事。据首尔经济日报报道，乐天集团关联公司 Spoon 运营的移动礼品券服务 Giftiel，10 月 22 日遭黑客攻击，18359 名客户个人信息泄露；SK Planet 运营的 Gifticon 也出现过客户信息和券数据泄露的迹象。
五、跨境卖家该改什么
对在 Gmarket、Auction 上经营的中国卖家来说，这次事件有三层影响。
最直接的是账户安全。平台已要求近期未改密码的用户更换密码，并在登录环节推动开启双重认证；对现金类礼品券等敏感品类，追加了身份验证。多店铺运营的卖家，主账号务必单独设置密码，不要与广告账户、物流账户复用。
第二层是券类营销的风险。卖家自建的优惠券、礼品卡如果也采用「码即凭证」的设计，同样存在被批量撞库和接口抓取的可能。核销环节加一道手机号后四位或订单号校验，成本很低。
第三层是合规。韩国《个人信息保护法》在 2023 年修订后，对泄露事件的申报时限、通知义务和罚则有明确规定，罚金上限已提高到相关营业额的 3%。Gmarket 已向 KISA 和个人信息保护委员会申报，后续是否被认定「未尽安全保护义务」，会直接影响整个平台生态的合规成本。
一个已经把 PIN 码换发提上日程、却仍不愿公布受影响人数的平台，很难让人判断这次到底是「小范围事故」还是「又一次被低估的泄露」。当补偿金额先于事实披露公布时，用户拿到的究竟是一份赔偿，还是一份封口费？
参考资料
- 首尔经济日报：《G Market Hit by Breach as E-Coupon PIN Numbers Leak》
- 朝鲜日报：《Gmarket Confirms Unauthorized E-Coupon Use, Alerts KISA》
- 每日经济新闻：《Gmarket Offers Proactive Compensation to Customers Affected by Suspected Identity Theft》
- 亚洲经济：《Following Coupang, Unauthorized Payment Incident at Gmarket as Well》
- 首尔经济日报：《Gmarket to Triple Deal Lineup for November Big Smile Day》
- 金融新闻：《Gmarket to Add AI to Big Smile Day, Triple the Number of Special-Deal Products》