Японският производител Iris Ohyama, оператор на платформата за пазаруване Iris Plaza, разкри, че лична информация, принадлежаща на около 7,7 милиона души, може да е била компрометирана след неоторизиран достъп до облачна услуга на трета страна, използвана от компанията.
Компанията е открила инцидента в края на миналия месец и го е оповестила публично с ограничени подробности, заедно със съобщение, че сайтът ще бъде временно спрян.
В актуализация по-рано тази седмица компанията заяви, че е открила подозрителен файл във външна облачна услуга, използвана от онлайн магазина Iris Plaza.
„Незабавно спряхме Iris Plaza и свързаните с нея системи и започнахме разследване. Потвърдихме неоторизиран достъп от трета страна и го оповестихме в първото си известие на 29 октомври“, заявиха от компанията [машинен превод].
Разследването е потвърдило, че данните на клиентите, съхранявани в компрометираната външна облачна услуга, може да са били достъпени от неоторизирани злонамерени субекти.
Въпреки че компанията все още се опитва да установи броя на изтеклите записи и колко души са засегнати, тя отбелязва, че инцидентът обхваща до 5,8 милиона регистрирани и бивши членове, както и 1,9 милиона нечленове.
Iris Plaza е онлайн магазинът на Iris Ohyama Group — голям японски производител на домакински продукти, вариращи от шкафове за съхранение и LED осветление до домакински уреди и градински аксесоари.
Според уведомлението на компанията следната информация може да е била разкрита:
- Пълни имена
- Физически адреси
- Телефонни номера
- Имейл адреси
- Пол
- Дати на раждане
- Пароли за акаунти
Типовете изтекли данни варират за всяко лице. Например, за бивши членове не се съхраняват пароли.
От Iris Plaza заявиха, че съхраняват паролите за активни регистрирани членове в криптиран вид, въпреки че не уточниха каква схема за криптиране се използва.
Компанията също така посочи, че информация за кредитни карти не се е съхранявала в засегнатата облачна услуга.
Към 5 ноември Iris Plaza не е получила сигнали за злоупотреба с разкритата информация или финансови загуби, свързани с инцидента.
В отговор на инцидента онлайн магазинът на компанията (SIMPLE STYLE) и свързаните с него системи са били спрени на 28 октомври.
Същото важи и за уебсайтовете за услуги на Iris Tech Service Co., Ltd., включително абонаменти за домакински уреди, както и доставка и монтаж на мебели и уреди.
Комисията за защита на личните данни на Япония и полицията са били уведомени на 29 октомври 2026 г.
BleepingComputer се свърза с Iris Plaza, за да научи повече за атаката и дали е бил поискан откуп. Говорител ни каза, че не са получили директна комуникация от атакуващия и не са идентифицирали извършителите.