Iris Ohyama investiga una brecha en la nube que pudo exponer datos de hasta 7,7 millones de personas

Iris Ohyama, fabricante japonés de artículos para el hogar y propietario de la plataforma de compras Iris Plaza, ha confirmado que un tercero accedió sin autorización a un servicio de nube externo utilizado por su tienda online. La compañía calcula que la información de hasta 7,7 millones de personas podría haber quedado expuesta: alrededor de 5,8 millones de miembros registrados y antiguos miembros, y 1,9 millones de no miembros.

El incidente se detectó a finales de octubre. Iris Plaza suspendió su tienda y los sistemas relacionados el 28 de octubre y publicó un primer aviso el 29. En una actualización posterior, la empresa explicó que había encontrado un archivo sospechoso en el servicio cloud y que la investigación había confirmado el acceso no autorizado. La cifra exacta de registros afectados sigue bajo revisión.

Qué pasó y qué sistemas se pararon

El servicio afectado es el que utiliza Iris Plaza, la tienda online del grupo. Además de la tienda, se suspendieron los sitios de Iris Tech Service relacionados con suscripciones de electrodomésticos y con servicios de entrega e instalación de muebles y aparatos. La empresa no ha identificado a los responsables ni ha recibido comunicación directa del atacante, según declaró un portavoz a BleepingComputer.

Iris Ohyama notificó el incidente a la Comisión de Protección de la Información Personal de Japón y a la policía el 29 de octubre de 2026. La investigación continúa y la compañía no ha detallado el vector de entrada, la duración del acceso ni si se ha recibido una petición de rescate.

Qué datos pueden haber quedado expuestos

Según el aviso de la empresa, la información afectada puede incluir nombre completo, dirección postal, número de teléfono, dirección de correo electrónico, sexo, fecha de nacimiento y contraseña de la cuenta. Los datos varían según la persona: los antiguos miembros, por ejemplo, no tienen contraseña almacenada.

Iris Plaza asegura que las contraseñas de los miembros activos se guardan cifradas, aunque no especifica qué algoritmo utiliza. También afirma que la información de tarjetas de crédito no se almacenaba en el servicio cloud afectado. Esas dos precisiones reducen el riesgo, pero no lo eliminan: una contraseña cifrada con un esquema débil o reutilizada en otros servicios sigue siendo un problema.

La combinación de nombre, dirección, teléfono, correo y fecha de nacimiento es un conjunto valioso para el fraude y la suplantación. Permite construir mensajes de phishing convincentes, abrir cuentas con datos reales o intentar recuperar el acceso a otros servicios. Por eso el aviso llega con una recomendación práctica: desconfiar de cualquier comunicación que use esos datos y pida contraseñas, pagos o códigos.

Qué ha hecho la empresa

Además de suspender los sistemas y notificar a las autoridades, Iris Plaza ha publicado dos avisos en su web corporativa, el 29 de octubre y el 5 de noviembre. En el segundo actualizó el alcance del incidente y confirmó que los datos almacenados en el cloud comprometido podrían haber sido accedidos. Hasta el 5 de noviembre no había recibido informes de uso indebido ni de pérdidas económicas relacionadas.

La empresa no ha explicado por qué el servicio externo contenía ese volumen de datos personales ni qué medidas de segmentación y cifrado aplicaba. Tampoco ha indicado si los afectados recibirán avisos individuales. Son preguntas relevantes para evaluar la gravedad real, pero no hay todavía información pública suficiente para responderlas.

Qué deberían hacer las personas afectadas

Si usaste Iris Plaza con una contraseña que también empleas en otros servicios, cámbiala en todos ellos y activa la autenticación en dos pasos donde esté disponible. No esperes a recibir un correo de la empresa: los atacantes pueden usar los datos filtrados para enviar mensajes que parezcan oficiales. Ninguna comunicación legítima debería pedirte la contraseña ni un código de verificación.

Vigila los cargos y las cuentas que puedan abrirse con tus datos. En Japón, la Comisión de Protección de la Información Personal dispone de canales de consulta; fuera del país, la recomendación general es conservar pruebas de cualquier intento de fraude y denunciarlo ante la autoridad de consumo o privacidad correspondiente. Si la empresa ofrece un servicio de vigilancia o un número de atención, conviene comprobarlo en su web oficial y no en enlaces recibidos por correo.

La brecha también es un recordatorio para las empresas: los servicios cloud de terceros forman parte del perímetro de seguridad. Saber qué datos se alojan allí, quién puede acceder y cómo se cifran es tan importante como proteger la red propia. Iris Ohyama tendrá que explicar no solo cómo entraron, sino por qué esos datos estaban donde estaban.