El fabricante japonés Iris Ohyama, responsable de la plataforma de compras Iris Plaza, ha confirmado que la información personal de cerca de 7,7 millones de personas podría haberse visto comprometida después de que terceros no autorizados accedieran a un servicio de nube externo contratado por la empresa.
La compañía detectó el incidente a finales del mes pasado y lo dio a conocer con escasa información, anunciando a la vez la suspensión temporal del sitio. En una actualización difundida esta semana, Iris Ohyama explicó que había localizado un archivo sospechoso en un servicio de nube externo empleado por la tienda online Iris Plaza.
«Suspendimos inmediatamente Iris Plaza y los sistemas relacionados y comenzamos una investigación. Confirmamos el acceso no autorizado por parte de un tercero y lo comunicamos en nuestro primer aviso el 29 de octubre», indicó la empresa.
Las pesquisas han confirmado que los datos de los clientes almacenados en el servicio de nube comprometido podrían haber sido consultados por actores no autorizados. Aunque todavía se está determinando el número exacto de registros expuestos y de afectados, la empresa estima que el impacto alcanza hasta 5,8 millones de miembros registrados y antiguos miembros, además de 1,9 millones de no miembros.
Iris Plaza es la tienda online del grupo Iris Ohyama, un importante fabricante japonés de productos para el hogar que abarca desde unidades de almacenamiento y luces LED hasta electrodomésticos y accesorios de jardín. Según la notificación de la empresa, la información que podría haber quedado expuesta incluye:
- Nombres completos
- Direcciones físicas
- Números de teléfono
- Direcciones de correo electrónico
- Género
- Fechas de nacimiento
- Contraseñas de cuentas
Los tipos de datos expuestos varían según el individuo. Por ejemplo, los antiguos miembros no tienen contraseñas almacenadas. Iris Plaza ha asegurado que las contraseñas de los miembros activos se guardan cifradas, aunque no ha especificado qué esquema de cifrado utiliza. Asimismo, la empresa ha indicado que la información de tarjetas de crédito no se almacenaba en el servicio de nube afectado.
Hasta el 5 de noviembre, Iris Plaza no había recibido ningún informe sobre uso indebido de la información expuesta ni sobre pérdidas financieras relacionadas con el incidente. Como respuesta, la tienda online de la compañía (SIMPLE STYLE) y los sistemas asociados fueron suspendidos el 28 de octubre. Lo mismo ocurrió con los sitios web de los servicios de Iris Tech Service Co., Ltd., incluidas las suscripciones a electrodomésticos y los servicios de entrega e instalación de muebles y aparatos.
La Comisión de Protección de la Información Personal de Japón y la policía fueron notificadas el 29 de octubre de 2026. BleepingComputer contactó con Iris Plaza para obtener más detalles sobre el ataque y saber si se había exigido un rescate. Un portavoz de la empresa declaró que no habían recibido ninguna comunicación directa de los atacantes y que no habían identificado a los responsables.
Deja una respuesta