Инцидент обнаружили в конце октября: в стороннем облачном сервисе, который поддерживал магазин Iris Plaza, нашли подозрительный файл. Компания сразу остановила площадку и связанные системы, а 29 октября уведомила японскую Комиссию по защите персональной информации и полицию.
Первое публичное сообщение было скупым, и только на этой неделе Iris Ohyama уточнила масштаб: речь может идти о 5,8 млн зарегистрированных и бывших участников и ещё 1,9 млн человек, которые не регистрировались, но оставили данные при заказе. Точное число записей ещё устанавливают.
Что именно могло утечь
Перечислены семь категорий: имя, почтовый адрес, телефон, электронная почта, пол, дата рождения и пароль. Набор зависит от человека — у бывших участников паролей нет. Компания утверждает, что пароли активных участников хранятся в зашифрованном виде, но не говорит, каким алгоритмом. Данных банковских карт в пострадавшем сервисе не было.
По состоянию на 5 ноября сообщений о злоупотреблении данными или финансовых потерях не поступало. Требований выкупа тоже не было, и компания говорит, что не получала от атакующих прямых сообщений.
Почему это важно
Это типичный сценарий «утечка не у нас, а у подрядчика»: данные магазина лежали в облаке, которое компания не контролировала полностью. Для пользователей риск не в самом пароле, а в связке «имя, адрес, телефон, дата рождения» — из неё получаются убедительные фишинговые письма и звонки.
Iris Plaza — магазин группы Iris Ohyama, от бытовой техники до товаров для сада. Вместе с ним останавливали сайты Iris Tech Service, включая подписки на технику и доставку.
Что делать
Пользователям — сменить пароль, если он повторяется на других сайтах, и не переходить по ссылкам из писем «о компенсации». Компаниям стоит пересмотреть, какие персональные данные вообще уходят в сторонние сервисы, и прописать в договоре сроки уведомления об инциденте.
The incident was discovered in late October, when a suspicious file turned up in a third-party cloud service backing the Iris Plaza store. The company immediately suspended the store and related systems and notified Japan’s Personal Information Protection Commission and the police on 29 October.
The first public notice was sparse, and only this week did Iris Ohyama put a number on the exposure: up to 5.8 million current and former members plus another 1.9 million people who never registered but left details while ordering. The exact record count is still being established.
What may have leaked
Seven categories are listed: name, postal address, phone number, email address, gender, date of birth and password. The set depends on the individual; former members have no stored password. The company says active members’ passwords are encrypted, but does not say with what. No payment card data was held in the affected service.
As of 5 November it had received no reports of misuse or financial loss. There has been no ransom demand, and the company says the attacker never contacted it directly.
Why it matters
This is the classic “the breach was at the vendor, not at us” pattern: store data sat in a cloud the company did not fully control. For users the risk is not the password itself but the combination of name, address, phone and date of birth, which is enough to write a convincing phishing email or make a convincing call.
Iris Plaza is the online storefront of the Iris Ohyama group, which sells everything from home appliances to garden goods. Sites for Iris Tech Service, including appliance subscriptions and delivery, were suspended alongside it.
What to do
Users should change the password if it is reused elsewhere and avoid “compensation” links in email. Companies should review which personal data goes to third-party services at all, and put incident-notification deadlines in the contract.