Le informazioni personali di circa 7,7 milioni di persone potrebbero essere state esposte in un'intrusione nel cloud che ha colpito Iris Plaza, la piattaforma di shopping di Iris Ohyama, BleepingComputer ha riportato l'8 novembre. Il produttore giapponese ha confermato un accesso non autorizzato a un servizio cloud esterno e ha sospeso lo shopping e i sistemi collegati durante le indagini.
Il rischio di esposizione va oltre i titolari di account attuali. La valutazione di Iris Ohyama riguarda fino a 5,8 milioni di iscritti attuali ed ex iscritti, più 1,9 milioni di non iscritti, mentre gli investigatori continuano a stabilire quante persone e quanti record siano stati coinvolti.
Iris Plaza vende prodotti del gruppo Iris Ohyama, la cui gamma di articoli per la casa spazia dai contenitori per lo stoccaggio all'illuminazione LED, fino agli elettrodomestici e agli accessori da giardino.
Dati personali e password potenzialmente coinvolti
La comunicazione dell'azienda individua sette categorie di informazioni che potrebbero essere state esposte: nome e cognome, indirizzi postali, numeri di telefono, indirizzi email, genere, date di nascita e password degli account. Quali dati siano stati coinvolti dipende dalla persona; gli ex iscritti, ad esempio, non hanno password memorizzate.
Per gli iscritti attivi, Iris Plaza afferma di conservare le password cifrate, ma non ha specificato il metodo di cifratura. L'azienda ha precisato che il servizio cloud coinvolto non conteneva dati di carte di credito.
Al 5 novembre, Iris Plaza non aveva ricevuto segnalazioni che collegassero l'incidente a un uso improprio di dati personali o a perdite finanziarie.
File sospetto ha portato a indagini e sospensioni
Iris Ohyama ha scoperto l'incidente alla fine di ottobre. In un aggiornamento diffuso all'inizio della settimana del report di BleepingComputer, l'azienda ha descritto il ritrovamento di un file sospetto nel servizio cloud esterno a supporto di Iris Plaza. Ha dichiarato di aver subito bloccato la piattaforma e i sistemi collegati e di aver avviato un'indagine, che ha confermato che una terza parte non autorizzata aveva ottenuto l'accesso. Anche i dati dei clienti presenti in quel servizio potrebbero essere stati consultati.
Il blocco si è esteso a diversi servizi. Il 28 ottobre l'azienda ha sospeso lo store online SIMPLE STYLE e i sistemi collegati. Sono stati sospesi anche i siti di Iris Tech Service Co., Ltd., compresi quelli dedicati agli abbonamenti per elettrodomestici e alla consegna e installazione di mobili ed elettrodomestici.
Il 29 ottobre 2026 l'azienda ha diffuso il primo avviso pubblico sull'accesso non autorizzato e, nello stesso giorno, ha informato la Commissione giapponese per la protezione delle informazioni personali e la polizia.
Quando BleepingComputer ha chiesto a Iris Plaza maggiori dettagli, compreso se fosse stato chiesto un riscatto, un portavoce ha riferito che l'azienda non aveva ricevuto comunicazioni dirette dall'aggressore e non aveva ancora individuato i responsabili.
