De Japanse fabrikant Iris Ohyama heeft bekendgemaakt dat persoonsgegevens van mogelijk 7,7 miljoen mensen zijn blootgesteld na ongeautoriseerde toegang tot een externe cloudservice. Het incident raakt de online winkelomgeving Iris Plaza, het e-commerceplatform van de Iris Ohyama Group.
Het bedrijf zegt dat klantgegevens die in de getroffen externe cloudomgeving waren opgeslagen mogelijk door onbevoegden zijn ingezien. De exacte omvang van het datalek wordt nog onderzocht, maar Iris Ohyama houdt rekening met gegevens van maximaal 5,8 miljoen geregistreerde en voormalige leden en 1,9 miljoen niet-leden.
Verdacht bestand leidde tot onderzoek
Iris Ohyama ontdekte het incident eind oktober. In een latere update meldde het bedrijf dat in een externe cloudservice van Iris Plaza een verdacht bestand was aangetroffen. Daarop zijn Iris Plaza en gerelateerde systemen direct stilgelegd en is een onderzoek gestart.
Het bedrijf bevestigde vervolgens dat sprake was van ongeautoriseerde toegang door een derde partij. De eerste publieke melding volgde op 29 oktober. De online winkel SIMPLE STYLE en gerelateerde systemen waren al op 28 oktober opgeschort. Ook websites van diensten van Iris Tech Service Co., Ltd. zijn tijdelijk offline gehaald, waaronder diensten voor abonnementen op huishoudelijke apparaten en bezorging en installatie van meubels en apparaten.
De Japanse toezichthouder voor bescherming van persoonsgegevens, de Personal Information Protection Commission, en de politie zijn op 29 oktober 2026 geïnformeerd.
Welke gegevens mogelijk zijn getroffen
Volgens de melding van het bedrijf kunnen verschillende soorten persoonsgegevens zijn blootgesteld. Het gaat onder meer om volledige namen, fysieke adressen, telefoonnummers, e-mailadressen, geslacht, geboortedata en accountwachtwoorden.
Niet alle datatypen gelden voor iedere betrokkene. Zo worden volgens Iris Plaza geen wachtwoorden bewaard van voormalige leden. Voor actieve geregistreerde leden stelt het bedrijf dat wachtwoorden versleuteld zijn opgeslagen. Welke versleutelingsmethode of hashconstructie daarbij is gebruikt, is niet bekendgemaakt.
Iris Plaza benadrukt dat creditcardgegevens niet in de getroffen cloudservice waren opgeslagen. Dat beperkt de directe financiële risico’s, maar neemt de privacy-impact niet weg. De combinatie van contactgegevens, geboortedata en accountinformatie kan voor criminelen bruikbaar zijn bij gerichte phishing, identiteitsmisbruik of het samenstellen van profielen voor latere aanvallen.
Nog geen meldingen van misbruik
Op 5 november had Iris Plaza naar eigen zeggen geen meldingen ontvangen van misbruik van de blootgestelde informatie of van financiële schade die aan het incident is gekoppeld. Ook is niet bekendgemaakt dat de aanvallers losgeld hebben geëist.
Een woordvoerder heeft verklaard dat het bedrijf geen directe communicatie van de aanvaller heeft ontvangen en dat de daders nog niet zijn geïdentificeerd. Daarmee blijft onduidelijk of het incident voortkomt uit een gerichte aanval, misbruik van een configuratiefout, gestolen inloggegevens of een andere oorzaak.
Analyse: cloudleveranciers blijven een gevoelig schakelpunt
De bevestigde feiten wijzen op een incident in een externe cloudservice die door Iris Plaza werd gebruikt. Dat is relevant omdat organisaties steeds vaker klantdata, applicatiecomponenten en operationele processen buiten de eigen infrastructuur onderbrengen. Een cloudomgeving kan veilig worden ingericht, maar foutieve configuraties, zwakke toegangscontrole of onvoldoende monitoring kunnen grote hoeveelheden gegevens in één keer blootstellen.
Voor organisaties onderstreept dit incident het belang van zicht op waar persoonsgegevens precies worden opgeslagen, wie toegang heeft tot die omgevingen en welke logging beschikbaar is wanneer een afwijking wordt vastgesteld. Ook laat de zaak zien dat incidentrespons niet alleen een technisch proces is: het tijdelijk stilleggen van webwinkels en aanverwante diensten kan grote operationele gevolgen hebben.
Voor consumenten is vooral van belang dat het mogelijk om brede persoonsprofielen gaat. Zelfs zonder creditcardgegevens kunnen naam, adres, telefoonnummer, e-mailadres en geboortedatum voldoende zijn om geloofwaardige misleidingspogingen op te zetten. Als ook accountwachtwoorden onderdeel zijn van een incident, hangt het risico mede af van de gebruikte beveiliging van die wachtwoorden en van de vraag of mensen hetzelfde wachtwoord ook elders gebruiken. Over die technische details heeft Iris Plaza geen nadere informatie verstrekt.
Onderzoek naar omvang loopt nog
Iris Ohyama onderzoekt nog hoeveel records daadwerkelijk zijn blootgesteld en hoeveel personen uiteindelijk getroffen zijn. De genoemde 7,7 miljoen betrokkenen is daarmee een maximale inschatting op basis van de huidige bevindingen van het bedrijf.
Iris Plaza is de online winkel van de Iris Ohyama Group, een grote Japanse fabrikant van huishoudelijke producten. Het assortiment loopt uiteen van opbergproducten en ledverlichting tot huishoudelijke apparaten en tuinartikelen. Door die brede consumentenbasis kan een incident in de webshopomgeving een groot aantal particuliere klanten raken.
Bron: bleepingcomputer.com
