דרישות הגילוי של ה‑SEC במרכז התביעה בניירות ערך נגד Coupang
- המאמר מתאר כיצד אירוע סייבר מהותי ב‑Coupang – שבו עובד לשעבר שמר גישה למערכות במשך כחצי שנה ופגע בנתוני כ‑33 מיליון חשבונות – מוביל לתביעה ייצוגית בניירות ערך בארה"ב, בטענה לכשלים במערכות אבטחה, בבקרות גילוי ולפיגור של 28 יום בדיווח החובה ב‑Form 8-K לפי כללי ה‑SEC.
- המאמר מסביר את התהליך המשפטי הצפוי לפי חוק PSLRA, את תגובת השוק והנזק למשקיעים, את ההליכים הרגולטוריים והפליליים המקבילים בדרום קוריאה, ואת ההשלכות הרחבות לחברות ציבוריות בניהול אירועי סייבר, הערכת מהותיות ועמידה בדרישות הגילוי ואישורי סרבנס‑אוקסלי.
הבנת מסגרת הגילוי של ה‑SEC בנושא סייבר
בשנת 2023 יישמה רשות ניירות הערך האמריקאית (SEC) כללים מקיפים המחייבים חברות ציבוריות לדווח על אירועי סייבר מהותיים באמצעות דיווחי Form 8-K בתוך ארבעה ימי עסקים ממועד קביעת המהותיות של האירוע. מסגרת רגולטורית זו משקפת את מאמצי ה‑SEC להבטיח שמשקיעים יקבלו מידע בזמן על סיכוני סייבר שיכולים להשפיע על החלטות ההשקעה שלהם. הכללים חלים על כל החברות המדווחות ל‑SEC, ללא קשר למקום ביצוע הפעילות העסקית העיקרית שלהן.
מהותיות בהקשר של סייבר כוללת לא רק את החומרה הטכנית של הפריצה, אלא גם את ההשפעה הפוטנציאלית שלה על פעילות החברה, המוניטין שלה, יחסי הלקוחות שלה והמעמד הרגולטורי שלה. החברות חייבות לבצע קביעות מהותיות במהירות, תוך איזון בין הצורך בחקירה פנימית יסודית. במקביל לדרישות הגילוי הספציפיות לאירועים, מנהלים נדרשים לאשר את יעילות מנגנוני הבקרה והנהלים לגילוי באמצעות הצהרות על פי סרבנס‑אוקסלי (Sarbanes-Oxley) המוגשות רבעונית ושנתית.
חובות הציות הרגולטוריות של Coupang
Coupang, Inc. (CPNG) פועלת כחברת טכנולוגיה אמריקאית שמשרדיה הראשיים בסיאטל, וושינגטון, אף שהשוק העיקרי שלה הוא צרכנים בדרום קוריאה. מניות החברה נסחרות בבורסת ניו יורק תחת הסימול CPNG, ולכן היא כפופה למלוא חובות הדיווח של ה‑SEC, למרות שמודל הפעילות שלה ממוקד באסיה. עם כ‑25 מיליון משתמשים פעילים בתחומי אי‑קומרס, משלוחי מזון, בידור בסטרימינג ושירותי פינטק, Coupang מחזיקה מאגרי מידע נרחבים של נתוני לקוחות.
מבנה תאגידי זה יוצר סביבת רגולציה כפולה. בעוד ה‑SEC מפקחת על הגילוי למשקיעים בארה"ב, הרשויות בדרום קוריאה מפקחות על הגנת מידע ופרטיות בתחום השיפוט שלהן. גם המנכ"ל Bom Kim וגם סמנכ"ל הכספים Gaurav Anand נושאים באחריות לאשר את מספקות מנגנוני הבקרה הפנימיים לפי סעיף 302 לחוק סרבנס‑אוקסלי, המחייב אותם לציין באופן אישי שחשפו בפני רואי החשבון וועדת הביקורת את כל הליקויים המשמעותיים בבקרות הפנימיות ואת כל מקרי ההונאה שבהם מעורבת הנהלה.
ציר הזמן של כשל הציות הנטען
הדוח השנתי של החברה לפברואר 2025 כלל נוסח סטנדרטי של גורמי סיכון, שהזהיר משקיעים מפני פגיעויות אפשריות בהגנה על נתוני לקוחות ותשתית טכנולוגית. אזהרות כלליות כאלה, הנפוצות בענף הטכנולוגיה, הופיעו בדוח Form 10-K לשנת 2024 שנכלל בו בהפניה.
בחודשים שלאחר מכן, כאשר תקופת התביעה הייצוגית החלה באוגוסט 2025, שני המנהלים חתמו על אישורי סרבנס‑אוקסלי שצורפו לדוח הרבעוני Form 10-Q לרבעון השני ב‑5 באוגוסט. באישורים אלה הם הצהירו שבחנו את יעילות מנגנוני הבקרה והנהלי הגילוי, ושחשפו כל שינוי מהותי בבקרה הפנימית על הדיווח הכספי. הם חתמו על אישורים זהים ב‑4 בנובמבר 2025, שצורפו לדוח הרבעון השלישי.
לפי כתב התביעה שהוגש לבית המשפט הפדרלי במחוז הצפוני של קליפורניה, צוות האבטחה הפנימי של Coupang קבע ב‑18 בנובמבר 2025 שהחברה חוותה גישה בלתי מורשית למידע של חשבונות לקוח. במקום להגיש את דיווח ה‑Form 8-K כנדרש בתוך ארבעה ימי עסקים (מה שהיה אמור להיות עד בערך 24 בנובמבר), החברה שמרה על שתיקה בזמן שגופי תקשורת החלו לדווח על הפריצה.
רויטרס פרסמה דיווח ראשוני ב‑30 בנובמבר, שבו ציינה כ‑33.7 מיליון חשבונות לקוחות שנפגעו והדגישה את התנצלות החברה בפני לקוחותיה. בלומברג פרסם ב‑1 בדצמבר כתבה שהציבה את האירוע בהקשר של שנה מאתגרת במיוחד בתחום אבטחת הנתונים בדרום קוריאה, ודיווח שרגולטורים פתחו בחקירה. עד 10 בדצמבר דיווח הניו יורק טיימס כי פארק דה‑ג'ון, ראש יחידת הפעילות של Coupang בדרום קוריאה, התפטר תוך שהוא מקבל על עצמו "אחריות כבדה", וכי רשויות אכיפת החוק ביצעו צווי חיפוש במתקני החברה בסיאול.
לבסוף, ב‑16 בדצמבר 2025 – 28 ימים לאחר קביעת המהותיות הנטענת – הגישה Coupang דיווח Form 8-K המכיר בכך שהחברה נודע על אירוע הסייבר ב‑18 בנובמבר. בדיווח נמסר כי עובד לשעבר אולי שמר גישה למערכות למשך כמעט חצי שנה לאחר עזיבתו ב‑2024, וקיבל שמות, מספרי טלפון, כתובות משלוח וכתובות דוא"ל, הקשורים לעד 33 מיליון חשבונות לקוחות.
תוכן טענות המשקיעים
תביעת הייצוגית בניירות הערך, שכותרתה הרשמית היא Barry v. Coupang, Inc., Bom Kim, and Gaurav Anand (תיק מס' 5:25-cv-10795), טוענת שמערכות האימות ומנגנוני ההצפנה של החברה לא היו מספקים כדי לזהות או למנוע גישה בלתי מורשית ממושכת. כתב התביעה מזהה את מבצע האירוע הנטען כעובד לשעבר שעזב ב‑2024, אך כנראה שמר אישורי גישה תקפים שאפשרו לו להמשיך לגשת למערכת במשך חלק ניכר מ‑2025.
חלון של שישה חודשי גישה בלתי מזוהה נמצא במרכז הטענות לגבי מנגנוני הגילוי. המשקיעים טוענים שמערכות ניטור יעילות היו צריכות לזהות דפוסי גישה חריגים או לסמן אישורי גישה פעילים של עובדים שעזבו. אי הזיהוי הזה, לפי הטענה, עומד בסתירה לחתימות המנהלים מאוגוסט ונובמבר 2025 על אישורי סרבנס‑אוקסלי, שבהם הצהירו על מספקות מנגנוני הגילוי ועל היעדר הונאה מהותית.
כתב התביעה מוסיף וטוען שכאשר ההנהלה למדה על הפריצה ב‑18 בנובמבר, כבר היה בידיה מידע שחייב גילוי מיידי לפי כלל ארבעת הימים של ה‑SEC לגבי אירועי סייבר מהותיים. היקף הפריצה – פגיעה בנתוני לקוחות של כשליש מאוכלוסיית דרום קוריאה – יחד עם משך הגישה הבלתי מורשית והמעורבות של עובד לשעבר, נראה שעונים על רוב ההגדרות של מהותיות. עם זאת, דיווח ה‑Form 8-K הוגש רק ב‑16 בדצמבר, הרבה מעבר למועד הקבוע בתקנות.
התובעים טוענים שהעובדות הללו מפרות את דיני ניירות הערך הפדרליים, במיוחד סעיף 10(b) לחוק ניירות הערך משנת 1934 ואת כלל 10b-5 של ה‑SEC, וכן אחריות "איש שליטה" לפי סעיף 20(a) לגבי המנהלים האישיים.
תגובת השוק ותיאוריית הנזק
תביעות ניירות ערך בגין תרמית נשענות בדרך כלל על תיאוריית יעילות השוק: בשוק מתפקד היטב, מחירי המניות משקפים את כל המידע הזמין לציבור. כאשר חברות מוסרות הצהרות כוזבות או מטעות, או נמנעות מלגלות מידע מהותי, מחיר המניה הופך ל"מנופח באופן מלאכותי" לעומת מה שהיה אילו למשקיעים היה מידע מלא ומדויק.
מחיר מניית Coupang הראה תגובה ברורה ככל שהמידע התפרסם. לאחר הדיווח הראשון של רויטרס ב‑30 בנובמבר, המניה ירדה ב‑1.51 דולר (5.36%) וסגרה ב‑26.65 דולר ב‑1 בדצמבר 2025. כאשר הניו יורק טיימס דיווח על התפטרות ראש היחידה הדרום קוריאנית ב‑10 בדצמבר, המניה ירדה בעוד 0.87 דולר (3.2%) ל‑26.06 דולר. הירידות החדות ביותר היו באמצע החודש: ירידה של 1.30 דולר (5.07%) ל‑24.33 דולר ב‑15 בדצמבר, ועוד ירידה של 1.14 דולר (4.68%) ל‑23.19 דולר ב‑16 בדצמבר, כאשר פרטי העובד לשעבר ומשך הגישה הפכו לפומביים.
דיווח ה‑Form 8-K מ‑16 בדצמבר, שפורסם לאחר סיום המסחר, גרר ירידה נוספת של 0.47 דולר (2.02%) ל‑22.72 דולר ב‑17 בדצמבר. הירידות המצטברות עלו על 10% ומחקו יותר מ‑8 מיליארד דולר משווי השוק – וזה מייצג את הנזק הפוטנציאלי למשקיעים שקנו מניות במהלך תקופת התביעה במחירים שלטענתם לא שיקפו את חולשות הסייבר של החברה ואת כשלי הציות שלה לדרישות הגילוי.
הליכים רגולטוריים ופליליים בדרום קוריאה
ההליך המשפטי מתנהל על רקע הליכים מקבילים בדרום קוריאה. הרגולטורים שם פתחו בחקירה מיד לאחר שנודע להם על הפריצה, מה שמשקף רגישות מוגברת לנושאי הגנת נתונים, לאחר מה שבלומברג תיאר כשנה שיא בפריצות נתונים מקוונות שפגעו בחברות וצרכנים בדרום קוריאה.
התפטרותו של פארק דה‑ג'ון, תוך שהוא מביע קבלת אחריות, עשויה להעיד על חומרת האירוע בעיני הנהלת הפעילות של Coupang בדרום קוריאה. החלטת רשויות אכיפת החוק לבצע פשיטות ולאסוף ראיות ממשרדי סיאול מרמזת על חשיפה פלילית אפשרית, מעבר לקנסות רגולטוריים אזרחיים.
הליכים מקבילים אלה עשויים להשפיע על התביעה בארה"ב בכמה דרכים. ראיות שייאספו על ידי הרשויות בדרום קוריאה עשויות להיות זמינות במסגרת הליכי גילוי. ממצאים של הרגולטורים הדרום קוריאנים לגבי מספקות מנגנוני האבטחה של Coupang יכולים לתמוך או להחליש את הטענות לגבי מנגנוני הגילוי. אם יוגשו כתבי אישום פליליים, הם עשויים לספק בסיס עובדתי נוסף לטענות שההנהלה ידעה או הייתה אמורה לדעת על ליקויי הבקרה כאשר חתמה על אישורי סרבנס‑אוקסלי.
תהליך התביעה בניירות ערך בהמשך
כתב התביעה שהוגש ב‑18 בדצמבר 2025 פותח תהליך מובנה לפי חוק הרפורמה בתביעות ניירות ערך פרטיות (PSLRA). החוק, שהתקבל ב‑1995 כדי להתמודד עם חששות לגבי תביעות ניירות ערך סרק, קובע נהלים ייחודיים לתביעות ייצוגיות בטענות להונאה בניירות ערך.
אבן הדרך הראשונה מגיעה ב‑17 בפברואר 2026, המועד האחרון לחברי הקבוצה להגיש בקשות למינוי כתובע מוביל. ה‑PSLRA יוצר חזקה שלפיה חבר הקבוצה בעל האינטרס הכספי הגדול ביותר בסעד המבוקש צריך לשמש כתובע מוביל, בכפוף לתנאים מסוימים. התובע המוביל בוחר לאחר מכן את בא כוחו המוביל שייצג את הקבוצה, בכפוף לאישור בית המשפט.
לאחר מינוי התובע המוביל, בית המשפט ידון באישור התובענה כייצוגית – התהליך שקובע האם התיק ימשיך כתביעה ייצוגית או שחייבים להגיש תביעות נפרדות על ידי תובעים יחידניים. תביעות הונאה בניירות ערך בדרך כלל עומדות בדרישות לאישור תובענה ייצוגית, משום שהן כוללות שאלות משפטיות ועובדתיות משותפות שנוגעות לכל חברי הקבוצה שקנו בתקופה זהה על בסיס אותן הצהרות נטענות ככוזבות.
לפני הדיון לגופו של עניין, הנתבעים כמעט בוודאות יגישו בקשה לסילוק התביעה לפי כלל 12(b)(6) לכללי סדר הדין האזרחי הפדרליים. ה‑PSLRA מטיל סטנדרט הגשת תביעה מחמיר במיוחד בתיקי ניירות ערך, ודורש מהתובעים לפרט עובדות המובילות למסקנה חזקה שהנתבעים פעלו במצב נפשי נדרש (כוונה או לכל הפחות עצימת עיניים חמורה). התובעים חייבים לפרט עובדות ספציפיות המרמזות שהנתבעים ידעו שהצהרותיהם כוזבות, או היו פזיזים באופן חמור בכך שלא ידעו.
בתיק זה, בקשת הסילוק צפויה להתמקד בשאלה האם כתב התביעה טוען באופן מספק שהמנהלים ידעו על הפריצה ועל מהותיותה לפני שחתמו על אישורי סרבנס‑אוקסלי באוגוסט ובנובמבר, והאם עיכוב של 28 יום בהגשת Form 8-K לאחר קביעת המהותיות ב‑18 בנובמבר מהווה התנהגות ברת תביעה. הנתבעים עשויים לטעון שהעיכוב נבע מצורך לגיטימי לחקור, לאמת את העובדות ולהעריך השלכות משפטיות, ולא מניסיון מכוון להטעות משקיעים.
השלכות רחבות יותר על גילוי תאגידי
התיק נגד Coupang מדגיש את האתגרים המתמשכים שחברות מתמודדות איתם בניהול תגובה לאירועי סייבר במסגרת כללי הגילוי של ה‑SEC. חלון הדיווח של ארבעה ימים מתחיל כאשר החברה קובעת שהאירוע מהותי – אך עצם קביעת המהותיות עשויה לדרוש ימים או שבועות של חקירה, ניתוח פורנזי, הערכת היקף ובחינה משפטית.
חברות חייבות לאזן בין שני צרכים: פעולה מהירה כדי לעמוד בחובות הגילוי, לבין הבטחת דיוק ושלמות המידע שמועבר למשקיעים. גילוי מוקדם מדי על בסיס מידע חלקי עלול לגרום להפרעה מיותרת בשוק או לחשוף חולשות בפני תוקפים נוספים. מנגד, גילוי מאוחר עלול להפר את כללי ה‑SEC ולהעמיד את החברה בפני אחריות בגין הונאה בניירות ערך.
העובדות הנטענות לגבי אישורי הגישה שנשמרו בידי העובד לשעבר מדגישות את החשיבות של ביקורות שיטתיות על הרשאות גישה בעת עזיבת עובדים. ארגונים רבים מתמקדים בעיקר בביטול הרשאות לרשת בעת עזיבת עובד, אך עלולים להתעלם מזכויות גישה ספציפיות ליישומים, מפתחות API או מנגנוני אימות אחרים. חלון של שישה חודשי גישה שלא זוהתה מרמז על פערים אפשריים בניטור פעילות משתמשים ובמערכות לזיהוי אנומליות.
התיק גם ממחיש את המתח הטמון בדרישות האישור לפי סרבנס‑אוקסלי. מנהלים חייבים לאשר מדי רבעון ושנה שחשפו בפני רואי החשבון וועדת הביקורת את כל ליקויי הבקרה המשמעותיים ומקרי ההונאה. אישורים אלה נחתמים בלוח זמנים קבוע שמוכתב על ידי מועדי הדיווח. אבל אירועי סייבר אינם פועלים לפי לוח שנה רבעוני. כאשר מנהלים חותמים על אישורים סמוך או בתקופה שבה מתרחשת פריצה שטרם התגלתה, האם הצהרותיהם כוזבות? והאם משנה אם מנגנוני בקרה אפקטיביים היו אמורים לגלות את הפריצה מוקדם יותר?
שאלות אלה חורגות מעבר ל‑Coupang ומשפיעות על כל החברות הציבוריות שמתמרנות בין סיכון סייבר, חובות גילוי ודרישות אישור של הנהלה. ככל שאיומי הסייבר ממשיכים להתפתח ולהתרבות, וככל שציפיות הרגולטורים לשקיפות ממשיכות לעלות, חברות חייבות להשקיע לא רק בבקרות אבטחה טכניות, אלא גם בנהלים ובמסגרות ממשל תאגידי שמאפשרים הערכות מהותיות מהירות ומדויקות וגילוי בהתאם לכללים כאשר אירועים מתרחשים.