Zusammenfassung:
Iris Ohyama, ein bekannter japanischer Hersteller von Haushaltsgeräten und Haushaltsprodukten, hat kürzlich einen schwerwiegenden Datensicherheitsvorfall offengelegt. Das offizielle Online-Einkaufszentrum des Unternehmens, Iris Plaza, wurde einem Cyberangriff ausgesetzt. Der Angreifer hat illegal auf den vom Unternehmen genutzten Cloud-Dienst eines Drittanbieters zugegriffen, was dazu geführt hat, dass die persönlichen Daten von etwa 7,7 Millionen Benutzern möglicherweise gestohlen oder eingesehen wurden. Derzeit hat das Unternehmen relevante Websites und einige damit verbundene Dienste gesperrt und untersucht die konkreten Auswirkungen des Vorfalls.
Alice Oyama entdeckte am 28. Oktober 2026 eine Anomalie. Damals entdeckten die Mitarbeiter eine verdächtige Datei im externen Cloud-Speicherdienst des Unternehmens, schlossen sofort das Online-Einkaufszentrum Iris Plaza und zugehörige Systeme und leiteten eine Untersuchung ein. Am 29. Oktober bestätigte das Unternehmen, dass ein illegaler Zugriff durch Dritte stattgefunden hatte, und meldete dies der japanischen Polizei und der Personal Information Protection Commission.
Am 5. November veröffentlichte das Unternehmen eine zweite Ankündigung, in der es den Umfang der möglicherweise betroffenen Daten weiter offenlegte. Nach den derzeit verfügbaren Informationen handelt es sich dabei um insgesamt etwa 7,7 Millionen personenbezogene Daten, darunter etwa 5,8 Millionen aktuelle und bereits registrierte Mitglieder sowie etwa 1,9 Millionen Nicht-Mitglieder. Zu Letzteren zählen vor allem Verbraucher, die ohne Registrierung eines Kontos direkt Waren kaufen, sowie Personen, die an Firmenaktionen und Gewinnspielen teilgenommen haben.
Die möglicherweise durchgesickerten Informationen variieren je nach Identität des Benutzers. Zu den betroffenen Daten gehören bei registrierten Mitgliedern Name, Adresse, Telefonnummer, E-Mail-Adresse, Geschlecht, Geburtsdatum, Kontopasswort usw. Bei Nicht-Mitgliedern können vor allem Name, Adresse, Telefonnummer und E-Mail-Adresse betroffen sein.
Es ist erwähnenswert, dass auch Benutzer betroffen sein können, die ihre Konten gekündigt haben. Das Unternehmen gab jedoch an, dass die Daten gekündigter Mitglieder keine Passwortinformationen enthalten. Für die Passwörter und einige andere Informationen, die noch aufbewahrt werden, hat das Unternehmen zuvor eine Verschlüsselung zur Speicherung verwendet, die konkreten Verschlüsselungsalgorithmen und Schutzmaßnahmen jedoch noch nicht im Detail bekannt gegeben.
Ein relativ beruhigender Aspekt dieses Vorfalls ist, dass Kreditkarteninformationen nicht kompromittiert wurden. Alice Oyama sagte, dass Kreditkarteninformationen ursprünglich nicht im Cloud-Dienst eines Drittanbieters gespeichert waren, auf den dieses Mal illegal zugegriffen wurde, und daher nicht in den potenziellen Umfang dieses Vorfalls fielen. Bis zum 5. November hat das Unternehmen keine Berichte über Geldverluste oder Kontodiebstähle erhalten, die in direktem Zusammenhang mit diesem Vorfall stehen.
Der Angriff führte auch dazu, dass Alice Oyama andere Teile ihres Online-Geschäfts einstellte. Neben der offiziellen Shopping-Website Iris Plaza hat auch die Website von SIMPLE STYLE, der Home-Fashion-Marke des Unternehmens, ihren Betrieb am 28. Oktober eingestellt. Darüber hinaus haben auch der von der Tochtergesellschaft Iris Tech Service betriebene Haushaltsgeräte-Abonnementdienst sowie die Website für den Liefer- und Installationsservice für Möbel und Haushaltsgeräte vorübergehend keine neuen Bewerbungen mehr angenommen.
Das Unternehmen betonte, dass es keine illegalen Zugriffe oder Datenlecks bei den oben genannten zugehörigen Diensten festgestellt habe. Um jedoch eine Ausweitung des Vorfalls zu verhindern, habe es dennoch beschlossen, die entsprechenden Systeme vorübergehend abzuschalten. Wann der Betrieb wieder aufgenommen wird, gibt es derzeit noch nicht.
Andererseits wurden die offiziellen Geschäfte von Alice Oyama auf E-Commerce-Plattformen Dritter wie Rakuten Market, Yahoo! eröffnet. Shopping und au PAY Market in Japan haben keine Auffälligkeiten im Zusammenhang mit diesem Vorfall festgestellt und können weiterhin normal funktionieren. Für Waren, die über Iris Plaza bestellt wurden, sagte das Unternehmen, dass es weiterhin Lieferungen arrangieren werde, einige Bestellungen könnten sich jedoch verzögern.
Derzeit haben die Ermittler weder die Identität des Angreifers noch seine konkrete Einbruchsmethode bestätigt. Das Unternehmen gab den Namen des Drittanbieters für Cloud-Dienste nicht bekannt und gab an, von den Angreifern keine direkten Kontakt- oder Erpressungsforderungen erhalten zu haben. Ob es sich bei diesem Vorfall um einen gezielten Angriff auf das Cloud-Speichersystem oder um einen Datendiebstahl unter Ausnutzung einer Sicherheitslücke in einem Drittanbieterdienst handelte, muss noch weiter untersucht werden.
Iris Oyama erinnert Verbraucher daran, dass sie das entsprechende Kontopasswort so schnell wie möglich ändern sollten, wenn das Passwort, das sie bei Iris Plaza verwendet haben, auch auf anderen Websites oder Netzwerkdiensten verwendet wird. Da es sich bei diesem Vorfall um persönliche Informationen wie Name, Adresse, Telefonnummer und Geburtsdatum handelt, können Angreifer diese echten Informationen in Zukunft auch für präzise Phishing-Betrügereien verwenden, indem sie sich beispielsweise als Einkaufsplattform ausgeben, um Rückerstattungsbenachrichtigungen, Erinnerungen an Logistikanomalien oder Warnungen zur Kontosicherheit zu versenden.
Das Unternehmen erinnert Benutzer ausdrücklich daran, sich vor E-Mails, Textnachrichten, Telefonanrufen und gefälschten Websites in Acht zu nehmen, die vorgeben, Alice Oyama und verwandte Regierungsbehörden zu sein. Das offizielle Personal wird Benutzer nicht per E-Mail oder SMS auffordern, Passwörter, persönliche Identifikationsnummern oder Authentifizierungscodes anzugeben, noch werden sie Benutzer auffordern, solche sensiblen Informationen über unbekannte Links einzugeben.
Das Unternehmen plant, Verbraucher, die möglicherweise betroffen sind, einzeln per E-Mail und auf andere Weise über den Fortschritt der Untersuchung zu benachrichtigen. Derzeit gibt es kein Online-Tool, mit dem öffentlich überprüft werden kann, ob eine Person betroffen ist.
Dieser Vorfall verdeutlicht einmal mehr die Datensicherheitsrisiken, denen große Einzelhandelsunternehmen ausgesetzt sind, die auf Cloud-Dienste von Drittanbietern angewiesen sind. Selbst wenn die eigene offizielle Website und die internen Systeme des Unternehmens nicht direkt angegriffen werden, können die Informationen von Millionen von Verbrauchern offengelegt werden, solange es Sicherheitslücken in der externen Cloud-Plattform gibt, auf der Kundendaten gespeichert sind. Für Einzelhandelsunternehmen mit riesigen Benutzerdatenbanken sind Berechtigungsmanagement, Datenverschlüsselung, Zugriffsüberwachung und Lieferantensicherheitsüberprüfung von Cloud-Diensten Dritter zu Sicherheitsaspekten geworden, die nicht ignoriert werden können.
Kommentare