Le distributeur japonais Iris Plaza révèle une faille cloud ayant exposé les données de 7,7 millions de clients

Iris Plaza, la branche e-commerce du fabricant japonais d'articles ménagers Iris Ohyama, a révélé qu'un intrus avait obtenu un accès non autorisé à un service cloud tiers hébergeant les données personnelles d'environ 7,7 millions de personnes. L'entreprise a découvert des fichiers suspects dans ce service le 28 octobre et a immédiatement mis hors ligne sa boutique en ligne et les sites associés, confirmant le lendemain l'accès par un tiers et en informant la police japonaise ainsi que la Commission de protection des informations personnelles.

Cette faille se distingue à la fois par son ampleur et par ce qu'elle révèle d'un point faible persistant de la sécurité du commerce de détail : l'infrastructure cloud de tiers. Plutôt qu'une attaque directe sur les propres serveurs d'Iris Plaza, l'intrusion est passée par un fournisseur cloud externe dont le distributeur dépend pour une partie de ses opérations, un schéma qui s'est répété à plusieurs reprises dans de grandes failles cette année, les attaquants trouvant souvent plus facile de compromettre un fournisseur partagé qu'une cible principale bien défendue.

Selon la mise à jour d'Iris Plaza du 5 novembre, les données exposées se répartissent en deux groupes. Environ 5,8 millions de membres actuels et anciens pourraient avoir vu leurs noms, adresses, numéros de téléphone, adresses e-mail, sexe, dates de naissance et mots de passe exposés, les mots de passe des anciens membres étant toutefois exclus. Environ 1,9 million de non-membres — des personnes ayant effectué des achats en tant qu'invités ou participé à des campagnes promotionnelles sans créer de compte — pourraient avoir eu leurs noms, adresses, numéros de téléphone et adresses e-mail consultés. Iris Plaza indique que les mots de passe et certains autres champs étaient chiffrés, sans toutefois préciser la méthode de chiffrement, et que les numéros de carte de crédit n'ont jamais été stockés sur le service cloud concerné.

L'entreprise affirme n'avoir reçu, à ce jour, aucun signalement d'utilisation abusive ou de perte financière liée à l'incident, et indique qu'elle enquête encore sur le nombre exact de données effectivement consultées ou récupérées par rapport à celles simplement accessibles. Elle n'a divulgué ni le nom du fournisseur cloud concerné, ni celui de l'attaquant, ni le point d'entrée précis. Les notifications individuelles aux clients concernés sont en cours, et Iris Plaza recommande aux acheteurs ayant réutilisé leur mot de passe de la boutique sur d'autres services de le modifier également là-bas, tout en mettant en garde contre les tentatives de phishing se faisant passer pour l'entreprise.

Pour un distributeur comptant des millions de clients à travers le Japon, une faille de cette ampleur a un poids réglementaire réel : la Commission japonaise de protection des informations personnelles dispose de larges pouvoirs pour ordonner des mesures correctives et peut exiger la divulgation publique des circonstances d'un incident. Cet événement s'inscrit également dans un schéma plus large de failles de distribution et de commerce électronique en 2026 liées à des erreurs de configuration de services cloud tiers plutôt qu'à des intrusions réseau directes, confirmant que la gestion des risques fournisseurs, et non la seule défense périmétrique, est devenue un élément central de la sécurité du commerce de détail. Iris Plaza n'a pas annoncé de date de réouverture pour sa boutique en ligne.

Comme l'a rapporté en premier CyberInsider, cette faille figure parmi les plus importantes révélées par un distributeur japonais en 2026.