Environ 7,7 millions de personnes pourraient avoir vu leurs informations personnelles exposées lors d'une intrusion dans le service cloud de la plateforme commerciale Iris Plaza, d'Iris Ohyama. BleepingComputer en a rendu compte le 8 novembre. Le fabricant japonais a confirmé un accès non autorisé à un service cloud externe et a suspendu, pendant son enquête, la boutique en ligne et les systèmes associés.
L'exposition potentielle ne se limite pas aux titulaires de comptes actuels. L'évaluation d'Iris Ohyama couvre jusqu'à 5,8 millions de membres inscrits actuels et anciens, ainsi que 1,9 million de non-membres. Les enquêteurs continuent de déterminer combien de personnes et d'enregistrements ont été touchés.
Iris Plaza vend des produits du groupe Iris Ohyama, dont la gamme d'articles pour la maison va des meubles de rangement et de l'éclairage LED aux appareils électroménagers et aux accessoires de jardin.
Informations personnelles et mots de passe potentiellement concernés
L'avis de l'entreprise mentionne sept catégories d'informations susceptibles d'avoir été exposées : noms complets, adresses postales, numéros de téléphone, adresses e-mail, sexe, dates de naissance et mots de passe des comptes. Les données concernées dépendent de chaque personne : les anciens membres, par exemple, n'ont aucun mot de passe enregistré.
Pour les membres inscrits actifs, Iris Plaza indique conserver les mots de passe chiffrés, sans préciser la méthode de chiffrement utilisée. L'entreprise affirme que le service cloud concerné ne contenait aucune information de carte bancaire.
Au 5 novembre, Iris Plaza n'avait reçu aucun signalement faisant le lien entre l'incident et une utilisation abusive de données personnelles ou une perte financière.
Un fichier suspect a déclenché l'enquête et des arrêts de services
Iris Ohyama a découvert l'incident fin octobre. Dans une mise à jour publiée plus tôt dans la semaine où BleepingComputer a publié son article, l'entreprise a décrit la découverte d'un fichier suspect dans le service cloud externe qui soutient Iris Plaza. Elle indique avoir immédiatement arrêté la plateforme et les systèmes associés, puis ouvert une enquête qui a confirmé qu'un tiers non autorisé avait obtenu l'accès. Les informations clients stockées dans ce service ont également pu être consultées.
La perturbation a touché plusieurs services. Le 28 octobre, l'entreprise a suspendu sa boutique en ligne SIMPLE STYLE et les systèmes associés. Les sites web d'Iris Tech Service Co., Ltd. ont également été suspendus, notamment ceux dédiés aux abonnements d'électroménager et à la livraison et à l'installation de meubles et d'appareils.
L'entreprise a publié sa première annonce publique concernant l'accès non autorisé le 29 octobre 2026. Ce même jour, elle a notifié la Commission de protection des informations personnelles du Japon ainsi que la police.
Lorsque BleepingComputer a demandé à Iris Plaza des précisions, notamment si une rançon avait été réclamée, un porte-parole a indiqué que l'entreprise n'avait reçu aucune communication directe de la part de l'attaquant et n'avait pas encore identifié les responsables.
