خرده‌فروش ژاپنی آیریس پلازا از نقض امنیتی ابری خبر داد؛ اطلاعات ۷.۷ میلیون مشتری افشا شد

آیریس پلازا، بازوی تجارت الکترونیک تولیدکننده ژاپنی لوازم خانگی آیریس اوهاما، اعلام کرده است که یک نفوذگر به‌طور غیرمجاز به یک سرویس ابری شخص ثالث دسترسی پیدا کرده که اطلاعات شخصی تقریباً ۷.۷ میلیون نفر را در خود نگهداری می‌کرد. این شرکت در ۲۸ اکتبر فایل‌های مشکوکی در این سرویس پیدا کرد و بلافاصله فروشگاه آنلاین و سایت‌های مرتبط خود را آفلاین کرد و روز بعد دسترسی شخص ثالث را تأیید کرده و به پلیس ژاپن و کمیسیون حفاظت از اطلاعات شخصی این کشور اطلاع داد.

این نقض امنیتی هم از نظر گستردگی و هم از این جهت قابل توجه است که نقطه ضعف پایداری در امنیت خرده‌فروشی را آشکار می‌کند: زیرساخت ابری شخص ثالث. به‌جای حمله مستقیم به سرورهای خود آیریس پلازا، این نفوذ از طریق یک ارائه‌دهنده ابری خارجی انجام شد که این خرده‌فروش برای بخشی از عملیات خود به آن متکی است؛ الگویی که امسال بارها در نقض‌های امنیتی بزرگ دیده شده است، زیرا مهاجمان اغلب به‌راحتی می‌توانند یک تأمین‌کننده مشترک را نسبت به یک هدف اصلی با دفاع قوی به خطر بیندازند.

بر اساس به‌روزرسانی ۵ نوامبر آیریس پلازا، سوابق افشاشده به دو گروه تقسیم می‌شوند. حدود ۵.۸ میلیون عضو فعلی و سابق ممکن است نام، آدرس، شماره تلفن، آدرس ایمیل، جنسیت، تاریخ تولد و رمز عبور آن‌ها افشا شده باشد، هرچند رمزهای عبور اعضای سابق مستثنی بوده‌اند. همچنین ۱.۹ میلیون نفر غیرعضو -افرادی که به‌صورت مهمان خرید کرده یا در کمپین‌های تبلیغاتی بدون ایجاد حساب کاربری شرکت کرده بودند- ممکن است نام، آدرس، شماره تلفن و آدرس ایمیل آن‌ها در دسترس قرار گرفته باشد. آیریس پلازا می‌گوید رمزهای عبور و برخی فیلدهای دیگر رمزنگاری شده بودند، هرچند روش رمزنگاری را مشخص نکرده و اعلام کرده که شماره کارت‌های اعتباری هرگز در این سرویس ابری ذخیره نمی‌شده‌اند.

این شرکت می‌گوید تا زمان آخرین به‌روزرسانی هیچ گزارشی از سوءاستفاده یا ضرر مالی مرتبط با این حادثه دریافت نکرده است و همچنان در حال بررسی این موضوع است که دقیقاً چه تعداد از سوابق واقعاً مشاهده یا برداشته شده‌اند در مقابل صرفاً در دسترس بوده‌اند. این شرکت نام ارائه‌دهنده ابری، مهاجم یا نقطه دقیق ورود را اعلام نکرده است. اطلاع‌رسانی فردی به مشتریان آسیب‌دیده در حال انجام است و آیریس پلازا به خریدارانی که رمز عبور فروشگاه خود را در سرویس‌های دیگر نیز استفاده کرده‌اند هشدار داده که آن را تغییر دهند، ضمن هشدار درباره تلاش‌های فیشینگ که خود را به جای این شرکت جا می‌زنند.

برای خرده‌فروشی با میلیون‌ها مشتری در سراسر ژاپن، نقضی به این وسعت از نظر مقرراتی اهمیت واقعی دارد؛ کمیسیون حفاظت از اطلاعات شخصی ژاپن اختیار گسترده‌ای برای دستور اقدامات اصلاحی دارد و می‌تواند افشای عمومی نحوه وقوع یک حادثه را الزامی کند. این حادثه همچنین در میان الگوی گسترده‌تری از نقض‌های امنیتی خرده‌فروشی و تجارت الکترونیک در سال ۲۰۲۶ رخ می‌دهد که به پیکربندی نادرست سرویس‌های ابری شخص ثالث مرتبط است نه نفوذ مستقیم به شبکه، و این موضوع تأکید می‌کند که مدیریت ریسک تأمین‌کنندگان، نه فقط دفاع محیطی، به بخش اصلی امنیت خرده‌فروشی تبدیل شده است. آیریس پلازا هنوز تاریخ بازگشایی فروشگاه آنلاین خود را اعلام نکرده است.

این خبر ابتدا توسط CyberInsider گزارش شد و این نقض امنیتی یکی از بزرگ‌ترین مواردی است که توسط یک خرده‌فروش ژاپنی در سال ۲۰۲۶ افشا شده است.