Résumé :
Iris Ohyama, un fabricant japonais bien connu d'appareils électroménagers et de produits ménagers, a récemment révélé un incident majeur en matière de sécurité des données. Le centre commercial en ligne officiel de l'entreprise, Iris Plaza, a été victime d'une cyberattaque. L'attaquant a accédé illégalement au service cloud tiers utilisé par l'entreprise, ce qui a entraîné le vol ou la consultation potentielle des informations personnelles d'environ 7,7 millions d'utilisateurs. Actuellement, la société a suspendu les sites Web concernés et certains services associés, et enquête sur l'impact spécifique de l'incident.
Alice Oyama a découvert une anomalie le 28 octobre 2026. À ce moment-là, le personnel a découvert un fichier suspect dans le service de stockage cloud externe utilisé par l'entreprise, a immédiatement fermé le centre commercial en ligne Iris Plaza et les systèmes associés et a lancé une enquête. Le 29 octobre, la société a confirmé qu'un accès illégal par un tiers avait eu lieu et l'a signalé à la police japonaise et à la Commission de protection des informations personnelles.
Le 5 novembre, la société a publié une deuxième annonce, révélant davantage l'ampleur des données susceptibles d'être affectées. Selon les informations actuellement disponibles, la quantité totale d'informations personnelles impliquées est d'environ 7,7 millions de personnes, dont environ 5,8 millions de membres actuels et antérieurs enregistrés, et environ 1,9 millions d'utilisateurs non membres. Ces derniers comprennent principalement les consommateurs qui achètent des biens directement sans créer de compte, ainsi que les personnes qui ont participé aux promotions et aux tirages au sort de l'entreprise.
Les informations susceptibles d'être divulguées varient en fonction de l'identité de l'utilisateur. Pour les membres enregistrés, les données concernées comprennent le nom, l'adresse, le numéro de téléphone, l'adresse e-mail, le sexe, la date de naissance, le mot de passe du compte, etc. Pour les utilisateurs non membres, les informations pouvant être concernées comprennent principalement le nom, l'adresse, le numéro de téléphone et l'adresse e-mail.
Il convient de noter que les utilisateurs qui ont annulé leur compte peuvent également être concernés, mais la société a déclaré que les données des membres annulés ne contiennent pas d'informations de mot de passe. Pour les mots de passe et certaines autres informations encore conservées, la société a déjà utilisé le cryptage pour les stocker, mais elle n'a pas encore divulgué en détail les algorithmes de cryptage spécifiques et les mesures de protection.
Un aspect relativement rassurant de cet incident est que les informations de carte de crédit n'ont pas été compromises. Alice Oyama a déclaré que les informations de carte de crédit n'étaient pas initialement stockées dans le service cloud tiers auquel on avait accédé illégalement cette fois-ci, et n'entraient donc pas dans le champ d'application potentiel d'une fuite de cet incident. Au 5 novembre, la société n'avait reçu aucun rapport faisant état de pertes de fonds ou de vols de comptes directement liés à cet incident.
L'attaque a également amené Alice Oyama à suspendre d'autres parties de son activité en ligne. Outre le site officiel d'achats Iris Plaza, le site Internet de SIMPLE STYLE, la marque de mode pour la maison de l'entreprise, a également cessé ses activités le 28 octobre. Par ailleurs, le service d'abonnement à l'électroménager exploité par la société affiliée au groupe Iris Tech Service, ainsi que le site Internet de service de livraison et d'installation de meubles et d'appareils électroménagers, ont également temporairement cessé d'accepter de nouvelles candidatures.
La société a souligné qu'elle n'avait constaté aucun accès illégal ni fuite de données dans les services associés mentionnés ci-dessus, mais afin d'éviter que l'incident ne s'étende, elle a néanmoins décidé de fermer temporairement les systèmes concernés. Quant à la date de reprise des opérations, il n’existe actuellement aucun calendrier.
D'autre part, les boutiques officielles d'Alice Oyama ont ouvert sur des plateformes de commerce électronique tierces telles que Rakuten Market, Yahoo! Shopping et au PAY Market au Japon n'ont trouvé aucune anomalie liée à cet incident et peuvent toujours fonctionner normalement. Pour les marchandises commandées via Iris Plaza, la société a déclaré qu'elle continuerait à organiser les expéditions, mais que certaines commandes pourraient être retardées.
Actuellement, les enquêteurs n'ont pas confirmé l'identité de l'attaquant, ni sa méthode d'intrusion spécifique. La société n'a pas divulgué le nom du fournisseur de services cloud tiers et a déclaré qu'elle n'avait reçu aucun contact direct ni demande de chantage de la part des attaquants. Il reste à déterminer si cet incident était une attaque ciblée contre le système de stockage cloud ou un vol de données utilisant une faille de sécurité dans un service tiers.
Iris Oyama rappelle aux consommateurs que si le mot de passe qu'ils ont utilisé sur Iris Plaza est également utilisé sur d'autres sites Web ou services réseau, ils doivent modifier le mot de passe du compte correspondant dès que possible. Étant donné que cet incident implique des informations personnelles telles que le nom, l'adresse, le numéro de téléphone et la date de naissance, les attaquants peuvent également utiliser ces informations réelles pour mener des escroqueries de phishing précises à l'avenir, par exemple en se faisant passer pour une plateforme d'achat pour envoyer des avis de remboursement, des rappels d'anomalies logistiques ou des avertissements de sécurité de compte.
La société rappelle spécifiquement aux utilisateurs de se méfier des e-mails, des SMS, des appels téléphoniques et des faux sites Web prétendant être Alice Oyama et les agences gouvernementales associées. Le personnel officiel ne demandera pas aux utilisateurs de fournir des mots de passe, des numéros d'identification personnels ou des codes d'authentification par courrier électronique ou par SMS, et ne demandera pas non plus aux utilisateurs de saisir de telles informations sensibles via des liens inconnus.
Pour les consommateurs susceptibles d'être concernés, l'entreprise prévoit d'informer les consommateurs un par un par e-mail et par d'autres méthodes en fonction de l'avancement de l'enquête. Il n’existe actuellement aucun outil en ligne permettant de vérifier publiquement si une personne a été concernée.
Cet incident met une fois de plus en évidence les risques en matière de sécurité des données auxquels sont confrontées les grandes entreprises de vente au détail qui s'appuient sur des services cloud tiers. Même si le site Web officiel et les systèmes internes de l'entreprise ne sont pas directement attaqués, tant qu'il existe des failles de sécurité dans la plate-forme cloud externe qui stocke les données des clients, les informations de millions de consommateurs peuvent toujours être exposées. Pour les entreprises de vente au détail disposant d’énormes bases de données d’utilisateurs, la gestion des autorisations, le cryptage des données, la surveillance des accès et l’examen de la sécurité des fournisseurs de services cloud tiers sont devenus des liens de sécurité incontournables.
Commentaires