El minorista japonés Iris Plaza revela una brecha en la nube que expuso datos de 7.7 millones de clientes

Iris Plaza, la rama de comercio electrónico del fabricante japonés de artículos para el hogar Iris Ohyama, ha revelado que un intruso obtuvo acceso no autorizado a un servicio en la nube de un tercero que almacenaba datos personales de aproximadamente 7.7 millones de personas. La empresa encontró archivos sospechosos en el servicio el 28 de octubre y de inmediato desconectó su tienda en línea y sitios relacionados, confirmando al día siguiente el acceso de terceros y notificando a la policía japonesa y a la Comisión de Protección de Información Personal.

La brecha es notable tanto por su escala como por lo que revela sobre un punto débil persistente en la seguridad minorista: la infraestructura en la nube de terceros. En lugar de un ataque directo a los propios servidores de Iris Plaza, la intrusión se produjo a través de un proveedor de nube externo del que depende el minorista para parte de sus operaciones, un patrón que se ha repetido en varias brechas importantes este año, ya que los atacantes a menudo encuentran más fácil comprometer a un proveedor compartido que a un objetivo principal bien defendido.

Según la actualización de Iris Plaza del 5 de noviembre, los registros expuestos se dividen en dos grupos. Aproximadamente 5.8 millones de miembros actuales y anteriores pueden haber tenido expuestos sus nombres, direcciones, números de teléfono, correos electrónicos, género, fechas de nacimiento y contraseñas, aunque se excluyeron las contraseñas de los exmiembros. Otros 1.9 millones de no miembros —personas que hicieron compras como invitados o participaron en campañas promocionales sin crear una cuenta— pueden haber tenido acceso a sus nombres, direcciones, números de teléfono y correos electrónicos. Iris Plaza dice que las contraseñas y algunos otros campos estaban cifrados, aunque no ha detallado el método de cifrado, y que los números de tarjetas de crédito nunca se almacenaron en el servicio en la nube afectado.

La empresa dice que, hasta su última actualización, no ha recibido informes de uso indebido ni pérdidas financieras vinculadas al incidente, y que todavía está investigando exactamente cuántos registros fueron realmente vistos o tomados frente a los que simplemente eran accesibles. No ha revelado el nombre del proveedor de la nube involucrado, el atacante ni el punto de entrada específico. Las notificaciones individuales a los clientes afectados están en curso, y Iris Plaza advierte a los compradores que reutilizaron su contraseña de la tienda en otros servicios que la cambien también allí, además de alertar sobre intentos de phishing que suplantan a la empresa.

Para un minorista con millones de clientes en todo Japón, una brecha de este tamaño conlleva un peso regulatorio real: la Comisión de Protección de Información Personal de Japón tiene amplias facultades para ordenar acciones correctivas y puede exigir la divulgación pública de cómo ocurrió un incidente. El incidente también se produce en medio de un patrón más amplio de brechas minoristas y de comercio electrónico en 2026 vinculadas a configuraciones incorrectas de la nube de terceros en lugar de intrusiones directas en la red, lo que refuerza que la gestión de riesgos de proveedores, no solo la defensa perimetral, se ha convertido en una parte central de la seguridad minorista. Iris Plaza no ha anunciado una fecha de reapertura para su tienda en línea.

Según informó originalmente CyberInsider, la brecha se encuentra entre las más grandes reveladas por un minorista japonés en 2026.