تاجر التجزئة الياباني آيريس بلازا يكشف عن اختراق سحابي كشف بيانات 7.7 مليون عميل

كشفت آيريس بلازا، الذراع الإلكترونية لشركة آيريس أوهاما اليابانية لتصنيع السلع المنزلية، أن مخترقًا حصل على وصول غير مصرح به إلى خدمة سحابية تابعة لجهة خارجية تخزّن بيانات شخصية لنحو 7.7 مليون شخص. عثرت الشركة على ملفات مشبوهة في الخدمة في 28 أكتوبر، وقامت فورًا بإيقاف متجرها الإلكتروني والمواقع المرتبطة به، وأكدت في اليوم التالي وصول طرف ثالث، وأبلغت الشرطة اليابانية ولجنة حماية المعلومات الشخصية.

يُعد هذا الاختراق لافتًا من حيث حجمه وما يكشفه عن نقطة ضعف متكررة في أمن التجزئة: البنية التحتية السحابية التابعة لجهات خارجية. فبدلاً من هجوم مباشر على خوادم آيريس بلازا نفسها، جرى الاختراق عبر مزود سحابي خارجي تعتمد عليه الشركة في جزء من عملياتها، وهو نمط تكرر مرارًا في اختراقات كبرى هذا العام، إذ غالبًا ما يجد المهاجمون اختراق مزوّد مشترك أسهل من استهداف نظام دفاعي رئيسي محصّن جيدًا.

وفقًا لتحديث آيريس بلازا الصادر في 5 نوفمبر، تنقسم السجلات المكشوفة إلى مجموعتين. قد يكون نحو 5.8 مليون عضو حالي وسابق قد تعرضت أسماؤهم وعناوينهم وأرقام هواتفهم وعناوين بريدهم الإلكتروني وجنسهم وتواريخ ميلادهم وكلمات مرورهم للكشف، باستثناء كلمات مرور الأعضاء السابقين. كما قد يكون 1.9 مليون شخص من غير الأعضاء -ممن أجروا عمليات شراء كضيوف أو شاركوا في حملات ترويجية دون إنشاء حساب- قد تعرضت أسماؤهم وعناوينهم وأرقام هواتفهم وعناوين بريدهم الإلكتروني للوصول. تقول آيريس بلازا إن كلمات المرور وبعض الحقول الأخرى كانت مشفّرة، رغم أنها لم توضح طريقة التشفير، وإن أرقام بطاقات الائتمان لم تُخزَّن قط في الخدمة السحابية المتأثرة.

تقول الشركة إنها لم تتلقَّ حتى آخر تحديث أي تقارير عن إساءة استخدام أو خسائر مالية مرتبطة بالحادث، وإنها لا تزال تحقق في العدد الدقيق للسجلات التي تم الاطلاع عليها أو أخذها فعليًا مقابل تلك التي كانت متاحة فقط للوصول. لم تكشف الشركة عن اسم مزود الخدمة السحابية أو المهاجم أو نقطة الدخول المحددة. وتجري حاليًا عملية إخطار فردية للعملاء المتأثرين، وتحذر آيريس بلازا المتسوقين الذين أعادوا استخدام كلمة مرور متجرهم في خدمات أخرى من ضرورة تغييرها هناك أيضًا، مع التحذير من محاولات التصيّد التي تنتحل صفة الشركة.

بالنسبة لتاجر تجزئة لديه ملايين العملاء في جميع أنحاء اليابان، يحمل اختراق بهذا الحجم وزنًا تنظيميًا حقيقيًا؛ إذ تتمتع لجنة حماية المعلومات الشخصية اليابانية بصلاحيات واسعة لإصدار أوامر بإجراءات تصحيحية ويمكنها إلزام الشركات بالكشف العلني عن كيفية وقوع الحادث. يأتي هذا الحادث أيضًا ضمن نمط أوسع من اختراقات التجزئة والتجارة الإلكترونية في عام 2026 المرتبطة بسوء تهيئة الخدمات السحابية التابعة لجهات خارجية بدلاً من الاختراقات المباشرة للشبكة، مما يؤكد أن إدارة مخاطر الموردين، وليس فقط الدفاع المحيطي، أصبحت جزءًا أساسيًا من أمن التجزئة. لم تعلن آيريس بلازا بعد عن موعد إعادة فتح متجرها الإلكتروني.

وكما ذكرت CyberInsider في البداية، يُعد هذا الاختراق من بين أكبر الاختراقات التي كشف عنها تاجر تجزئة ياباني في عام 2026.