Varejista japonesa Iris Plaza revela violação na nuvem que expôs dados de 7,7 milhões de clientes

A Iris Plaza, braço de e-commerce da fabricante japonesa de artigos domésticos Iris Ohyama, revelou que um invasor obteve acesso não autorizado a um serviço de nuvem de terceiros que armazenava dados pessoais de aproximadamente 7,7 milhões de pessoas. A empresa encontrou arquivos suspeitos no serviço em 28 de outubro e imediatamente tirou do ar sua loja online e sites relacionados, confirmando no dia seguinte o acesso de terceiros e notificando a polícia japonesa e a Comissão de Proteção de Informações Pessoais.

A violação chama atenção tanto pela escala quanto pelo que revela sobre um ponto fraco persistente na segurança do varejo: a infraestrutura de nuvem de terceiros. Em vez de um ataque direto aos próprios servidores da Iris Plaza, a invasão ocorreu por meio de um provedor de nuvem externo do qual a varejista depende para parte de suas operações, um padrão que se repetiu em várias violações importantes este ano, já que invasores costumam achar mais fácil comprometer um fornecedor compartilhado do que um alvo principal bem defendido.

De acordo com a atualização da Iris Plaza de 5 de novembro, os registros expostos se dividem em dois grupos. Cerca de 5,8 milhões de membros atuais e antigos podem ter tido nomes, endereços, números de telefone, e-mails, gênero, datas de nascimento e senhas expostos, embora as senhas de ex-membros tenham sido excluídas. Outros 1,9 milhão de não membros — pessoas que fizeram compras como convidados ou participaram de campanhas promocionais sem criar conta — podem ter tido nomes, endereços, telefones e e-mails acessados. A Iris Plaza diz que senhas e alguns outros campos estavam criptografados, embora não tenha detalhado o método de criptografia, e que números de cartão de crédito nunca foram armazenados no serviço de nuvem afetado.

A empresa afirma que, até sua última atualização, não recebeu relatos de uso indevido ou perdas financeiras ligadas ao incidente, e que ainda está investigando exatamente quantos registros foram realmente visualizados ou retirados em comparação aos que estavam apenas acessíveis. Não revelou o nome do provedor de nuvem envolvido, o invasor nem o ponto de entrada específico. As notificações individuais aos clientes afetados estão em andamento, e a Iris Plaza alerta os compradores que reutilizaram a senha da loja em outros serviços para trocá-la também lá, além de alertar sobre tentativas de phishing que se passam pela empresa.

Para uma varejista com milhões de clientes em todo o Japão, uma violação dessa magnitude carrega peso regulatório real — a Comissão de Proteção de Informações Pessoais do Japão tem amplos poderes para ordenar ações corretivas e pode exigir divulgação pública de como um incidente ocorreu. O episódio também ocorre em meio a um padrão mais amplo de violações de varejo e e-commerce em 2026 ligadas a configurações incorretas de nuvem de terceiros, em vez de invasões diretas de rede, reforçando que a gestão de risco de fornecedores, não apenas a defesa de perímetro, tornou-se parte central da segurança do varejo. A Iris Plaza não anunciou data de reabertura para sua loja online.

Conforme relatado originalmente pela CyberInsider, a violação está entre as maiores reveladas por uma varejista japonesa em 2026.