Resumen:
Iris Ohyama, un conocido fabricante japonés de electrodomésticos y productos para el hogar, reveló recientemente un importante incidente de seguridad de datos. El centro comercial online oficial de la compañía, Iris Plaza, sufrió un ciberataque. El atacante accedió ilegalmente al servicio en la nube de terceros utilizado por la empresa, lo que provocó que la información personal de alrededor de 7,7 millones de usuarios fuera potencialmente robada o vista. Actualmente, la empresa ha suspendido sitios web relevantes y algunos servicios relacionados, y está investigando el impacto específico del incidente.
Alice Oyama descubrió una anomalía el 28 de octubre de 2026. En ese momento, el personal descubrió un archivo sospechoso en el servicio de almacenamiento en la nube externo utilizado por la empresa e inmediatamente cerró el centro comercial en línea Iris Plaza y los sistemas relacionados y comenzó una investigación. El 29 de octubre, la empresa confirmó que se había producido un acceso ilegal por parte de un tercero y lo denunció a la policía japonesa y a la Comisión de Protección de Información Personal.
El 5 de noviembre, la compañía emitió un segundo anuncio, revelando además la escala de datos que pueden verse afectados. Según la información actualmente disponible, la cantidad total de información personal involucrada es de aproximadamente 7,7 millones de personas, incluidos aproximadamente 5,8 millones de miembros actuales y registrados anteriormente, y aproximadamente 1,9 millones de usuarios no miembros. Estos últimos incluyen principalmente a consumidores que compran productos directamente sin registrar una cuenta, así como a personas que han participado en promociones y sorteos de la empresa.
La información que puede filtrarse varía dependiendo de la identidad del usuario. Para los miembros registrados, los datos involucrados incluyen nombre, dirección, número de teléfono, dirección de correo electrónico, sexo, fecha de nacimiento, contraseña de la cuenta, etc. Para los usuarios que no son miembros, la información que puede verse afectada incluye principalmente nombre, dirección, número de teléfono y dirección de correo electrónico.
Vale la pena señalar que los usuarios que cancelaron sus cuentas también pueden verse afectados, pero la compañía afirmó que los datos de los miembros cancelados no contienen información de contraseña. Para las contraseñas y otra información que aún se conserva, la compañía ha utilizado previamente cifrado para almacenarlas, pero aún no ha revelado en detalle los algoritmos de cifrado específicos ni las medidas de protección.
Un aspecto relativamente tranquilizador de este incidente es que la información de la tarjeta de crédito no se vio comprometida. Alice Oyama dijo que la información de la tarjeta de crédito no se almacenó originalmente en el servicio en la nube de terceros al que se accedió ilegalmente esta vez y, por lo tanto, no estaba dentro del alcance de fuga potencial de este incidente. Hasta el 5 de noviembre, la empresa no ha recibido informes de pérdidas de fondos o robo de cuentas directamente relacionados con este incidente.
El ataque también provocó que Alice Oyama suspendiera otras partes de su negocio en línea. Además del sitio web oficial de compras Iris Plaza, el sitio web de SIMPLE STYLE, la marca de moda para el hogar de la compañía, también dejó de operar el 28 de octubre. Además, el servicio de suscripción de electrodomésticos operado por la empresa afiliada del grupo Iris Tech Service, así como el sitio web del servicio de entrega e instalación de muebles y electrodomésticos, también dejaron de aceptar temporalmente nuevas solicitudes.
La empresa enfatizó que no ha encontrado ningún acceso ilegal o fuga de datos en los servicios relacionados mencionados anteriormente, pero para evitar que el incidente se expanda, decidió cerrar temporalmente los sistemas relevantes. En cuanto a cuándo se reanudarán las operaciones, actualmente no hay un calendario.
Por otro lado, las tiendas oficiales de Alice Oyama abrieron en plataformas de comercio electrónico de terceros como Rakuten Market, Yahoo! Shopping y au PAY Market en Japón no han encontrado ninguna anomalía relacionada con este incidente y aún pueden operar con normalidad. Para los productos pedidos a través de Iris Plaza, la compañía dijo que continuará organizando envíos, pero algunos pedidos pueden sufrir retrasos.
Actualmente, los investigadores no han confirmado la identidad del atacante ni su método de intrusión específico. La compañía no reveló el nombre del proveedor externo de servicios en la nube y dijo que no había recibido contacto directo ni demandas de chantaje por parte de los atacantes. Queda por investigar más a fondo si este incidente fue un ataque dirigido al sistema de almacenamiento en la nube o un robo de datos utilizando una vulnerabilidad de seguridad en un servicio de terceros.
Iris Oyama recuerda a los consumidores que si la contraseña que han utilizado en Iris Plaza también se utiliza en otros sitios web o servicios de red, deben cambiar la contraseña de la cuenta correspondiente lo antes posible. Dado que este incidente involucra información personal como nombre, dirección, número de teléfono y fecha de nacimiento, los atacantes también pueden usar esta información real para llevar a cabo estafas de phishing precisas en el futuro, como hacerse pasar por una plataforma de compras para enviar avisos de reembolso, recordatorios de anomalías logísticas o advertencias de seguridad de cuentas.
La empresa recuerda específicamente a los usuarios que tengan cuidado con los correos electrónicos, mensajes de texto, llamadas telefónicas y sitios web falsos que se hacen pasar por Alice Oyama y agencias gubernamentales relacionadas. El personal oficial no pedirá a los usuarios que proporcionen contraseñas, números de identificación personal o códigos de autenticación a través de correo electrónico o mensajes de texto, ni tampoco pedirá a los usuarios que introduzcan información sensible a través de enlaces desconocidos.
Para los consumidores que puedan verse afectados, la empresa planea notificar a los consumidores uno por uno por correo electrónico y otros métodos según el progreso de la investigación. Actualmente no existe ninguna herramienta en línea disponible para comprobar públicamente si una persona se ha visto afectada.
Este incidente pone de relieve una vez más los riesgos de seguridad de los datos que enfrentan las grandes empresas minoristas que dependen de servicios en la nube de terceros. Incluso si el sitio web oficial de la empresa y los sistemas internos no son atacados directamente, mientras existan vulnerabilidades de seguridad en la plataforma de nube externa que almacena los datos de los clientes, la información de millones de consumidores aún puede estar expuesta. Para las empresas minoristas con enormes bases de datos de usuarios, la gestión de permisos, el cifrado de datos, la supervisión del acceso y la revisión de la seguridad de los proveedores de servicios en la nube de terceros se han convertido en vínculos de seguridad que no se pueden ignorar.
Comentarios