Etwa 7,7 Millionen Menschen könnten persönliche Daten verloren haben, nachdem in eine Cloud eingedrungen worden war, die die Shopping-Plattform Iris Plaza von Iris Ohyama betrifft. BleepingComputer berichtete am 8. November. Der japanische Hersteller bestätigte einen unbefugten Zugriff auf einen externen Cloud-Dienst und setzte während der Untersuchung den Shop sowie damit verbundene Systeme aus.
Die mögliche Betroffenheit geht über aktuelle Kontoinhaber hinaus. Die Bewertung des Unternehmens umfasst bis zu 5,8 Millionen aktuelle und ehemalige registrierte Mitglieder sowie 1,9 Millionen Nichtmitglieder. Die Ermittler klären derzeit noch, wie viele Personen und Datensätze tatsächlich betroffen waren.
Über Iris Plaza werden Produkte der Iris Ohyama Group verkauft. Das Haushaltssortiment der Gruppe reicht von Aufbewahrungsmöbeln und LED-Beleuchtung bis zu Haushaltsgeräten und Gartenzubehör.
Möglicherweise betroffene Daten und Passwörter
Die Mitteilung des Unternehmens nennt sieben Kategorien von Informationen, die möglicherweise offengelegt wurden: vollständige Namen, Postanschriften, Telefonnummern, E-Mail-Adressen, Geschlecht, Geburtsdaten und Kontopasswörter. Welche Angaben betroffen sind, hängt von der jeweiligen Person ab. Ehemalige Mitglieder etwa haben keine Passwörter gespeichert.
Bei aktiven registrierten Mitgliedern gab Iris Plaza an, Passwörter verschlüsselt zu speichern, nannte jedoch nicht das Verschlüsselungsverfahren. Nach Angaben des Unternehmens enthielt der betroffene Cloud-Dienst keine Kreditkarteninformationen.
Bis zum 5. November hatte Iris Plaza keine Meldungen erhalten, die den Vorfall mit einem Missbrauch persönlicher Daten oder mit finanziellen Schäden in Verbindung bringen.
Verdächtige Datei löste Untersuchung und Abschaltungen aus
Iris Ohyama entdeckte den Vorfall Ende Oktober. In einem Update, das früher in der Woche des BleepingComputer-Berichts veröffentlicht wurde, schilderte das Unternehmen, dass es eine verdächtige Datei im externen Cloud-Dienst gefunden habe, der Iris Plaza unterstützt. Es habe die Plattform und damit verbundene Systeme sofort gestoppt und eine Untersuchung eingeleitet. Diese habe bestätigt, dass sich ein unbefugter Dritter Zugang verschafft hatte. Auch Kundendaten in diesem Dienst könnten abgerufen worden sein.
Die Störung betraf mehrere Dienste. Am 28. Oktober setzte das Unternehmen den Online-Shop SIMPLE STYLE und damit verbundene Systeme aus. Auch Websites von Iris Tech Service Co., Ltd. wurden abgeschaltet, darunter jene für Haushaltsgerät-Abonnements sowie für die Lieferung und Installation von Möbeln und Geräten.
Das Unternehmen veröffentlichte am 29. Oktober 2026 seine erste öffentliche Mitteilung zu dem unbefugten Zugriff. Am selben Tag informierte es die japanische Datenschutzkommission (Personal Information Protection Commission) sowie die Polizei.
Als BleepingComputer bei Iris Plaza weitere Details erfragte, unter anderem ob ein Lösegeld gefordert worden sei, erklärte ein Sprecher, das Unternehmen habe keine direkte Nachricht vom Angreifer erhalten und die Verantwortlichen noch nicht ermittelt.
