Unos 7,7 millones de personas podrían haber visto expuesta su información personal en una intrusión en la nube que afectó a la plataforma de compras Iris Plaza de Iris Ohyama, según informó BleepingComputer el 8 de noviembre. El fabricante japonés confirmó un acceso no autorizado a un servicio de nube externo y suspendió las compras y los sistemas relacionados mientras duraba la investigación.
La posible exposición va más allá de los titulares de cuentas actuales. La evaluación de Iris Ohyama abarca hasta 5,8 millones de miembros registrados, actuales y antiguos, además de 1,9 millones de no miembros, mientras los investigadores siguen determinando cuántas personas y cuántos registros se vieron afectados.
Iris Plaza vende productos del Grupo Iris Ohyama, cuya gama de artículos para el hogar va desde unidades de almacenamiento e iluminación LED hasta electrodomésticos y accesorios de jardín.
Datos personales y contraseñas potencialmente implicados
La notificación de la empresa identifica siete categorías de información que podrían haber quedado expuestas: nombres completos, direcciones postales, números de teléfono, direcciones de correo electrónico, género, fechas de nacimiento y contraseñas de cuenta. Qué datos se vieron implicados depende de cada persona; los antiguos miembros, por ejemplo, no tienen contraseñas almacenadas.
En el caso de los miembros registrados activos, Iris Plaza afirmó que guarda las contraseñas cifradas, pero no especificó el método de cifrado. La empresa indicó que el servicio de nube afectado no contenía información de tarjetas de crédito.
Hasta el 5 de noviembre, Iris Plaza no había recibido ninguna denuncia que vinculara el incidente con un uso indebido de información personal o con pérdidas económicas.
Un archivo sospechoso motivó la investigación y el cierre de servicios
Iris Ohyama detectó el incidente a finales de octubre. En una actualización difundida esa misma semana, antes del informe de BleepingComputer, la empresa describió el hallazgo de un archivo sospechoso en el servicio de nube externo que da soporte a Iris Plaza. Indicó que suspendió de inmediato la plataforma y los sistemas relacionados, y que abrió una investigación que confirmó que un tercero no autorizado había obtenido acceso. También podría haberse accedido a información de clientes almacenada en ese servicio.
La interrupción afectó a varios servicios. El 28 de octubre, la empresa suspendió su tienda en línea SIMPLE STYLE y los sistemas relacionados. También se suspendieron los sitios web de Iris Tech Service Co., Ltd., incluidos los de suscripciones de electrodomésticos para el hogar y los de entrega e instalación de muebles y electrodomésticos.
La empresa emitió su primer comunicado público sobre el acceso no autorizado el 29 de octubre de 2026 y notificó ese mismo día a la Comisión de Protección de la Información Personal de Japón y a la policía.
Cuando BleepingComputer pidió a Iris Plaza más detalles, incluido si se había exigido un rescate, un portavoz indicó que la empresa no había recibido comunicación directa del atacante y que aún no había identificado a los responsables.
