Japanischer Einzelhändler Iris Plaza meldet Cloud-Sicherheitsvorfall mit Daten von 7,7 Millionen Kunden

Iris Plaza, der E-Commerce-Arm des japanischen Haushaltswarenherstellers Iris Ohyama, hat bekannt gegeben, dass ein Angreifer unbefugten Zugriff auf einen externen Cloud-Dienst erlangt hat, der persönliche Daten von etwa 7,7 Millionen Menschen speicherte. Das Unternehmen entdeckte am 28. Oktober verdächtige Dateien in dem Dienst und nahm umgehend seinen Online-Shop sowie zugehörige Websites vom Netz. Am Folgetag bestätigte es den Zugriff Dritter und informierte die japanische Polizei sowie die Kommission für den Schutz personenbezogener Informationen.

Der Vorfall ist sowohl wegen seines Ausmaßes als auch wegen dessen bemerkenswert, was er über eine anhaltende Schwachstelle in der Sicherheit des Einzelhandels offenbart: Cloud-Infrastruktur von Drittanbietern. Statt eines direkten Angriffs auf die eigenen Server von Iris Plaza erfolgte der Einbruch über einen externen Cloud-Anbieter, auf den sich der Händler für einen Teil seines Betriebs verlässt – ein Muster, das sich dieses Jahr bei mehreren großen Sicherheitsvorfällen wiederholt hat, da Angreifer es oft leichter finden, einen gemeinsam genutzten Anbieter zu kompromittieren als ein gut verteidigtes Hauptziel.

Laut dem Update von Iris Plaza vom 5. November teilen sich die offengelegten Datensätze in zwei Gruppen auf. Bei etwa 5,8 Millionen aktuellen und ehemaligen Mitgliedern könnten Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geschlecht, Geburtsdaten und Passwörter offengelegt worden sein, wobei die Passwörter ehemaliger Mitglieder ausgenommen waren. Weitere 1,9 Millionen Nicht-Mitglieder – Personen, die als Gäste eingekauft oder ohne Kontoerstellung an Werbeaktionen teilgenommen haben – könnten Zugriff auf Namen, Adressen, Telefonnummern und E-Mail-Adressen gehabt haben. Iris Plaza erklärt, dass Passwörter und einige andere Felder verschlüsselt waren, hat die Verschlüsselungsmethode jedoch nicht näher erläutert, und dass Kreditkartennummern nie im betroffenen Cloud-Dienst gespeichert wurden.

Das Unternehmen gibt an, bis zu seinem letzten Update keine Berichte über Missbrauch oder finanzielle Verluste im Zusammenhang mit dem Vorfall erhalten zu haben, und untersucht noch genau, wie viele Datensätze tatsächlich eingesehen oder entnommen wurden im Vergleich zu jenen, die lediglich zugänglich waren. Weder der Name des betroffenen Cloud-Anbieters noch der Angreifer oder der genaue Einstiegspunkt wurden bekannt gegeben. Individuelle Benachrichtigungen an betroffene Kunden laufen derzeit, und Iris Plaza warnt Käufer, die ihr Shop-Passwort auch bei anderen Diensten verwendet haben, dieses dort ebenfalls zu ändern, und warnt zudem vor Phishing-Versuchen, die sich als das Unternehmen ausgeben.

Für einen Einzelhändler mit Millionen Kunden in ganz Japan hat ein Vorfall dieser Größenordnung reales regulatorisches Gewicht – die japanische Kommission für den Schutz personenbezogener Informationen verfügt über weitreichende Befugnisse, Korrekturmaßnahmen anzuordnen, und kann die öffentliche Offenlegung der Umstände eines Vorfalls verlangen. Der Vorfall reiht sich zudem in ein breiteres Muster von Einzelhandels- und E-Commerce-Sicherheitsvorfällen im Jahr 2026 ein, die auf Fehlkonfigurationen von Cloud-Diensten Dritter statt auf direkte Netzwerkeinbrüche zurückgehen, was unterstreicht, dass Risikomanagement bei Anbietern – nicht nur Perimeterverteidigung – zu einem zentralen Bestandteil der Einzelhandelssicherheit geworden ist. Iris Plaza hat noch kein Datum für die Wiedereröffnung seines Online-Shops bekannt gegeben.

Wie zuerst von CyberInsider berichtet, gehört der Vorfall zu den größten, die ein japanischer Einzelhändler im Jahr 2026 offengelegt hat.