Ein Cloud-Sicherheitsvorfall hat den Onlineshop des japanischen Einzelhändlers Iris Plaza offline gesetzt und persönliche Informationen von 7,7 Millionen Menschen gefährdet – darunter auch Kunden, die nie ein Konto registriert haben.
Das Mutterunternehmen Iris Ohyama legte das mögliche Ausmaß am 5. November 2026 offen, nachdem es den unbefugten Zugriff auf einen externen Cloud-Dienst bestätigt hatte. Die Untersuchung folgt auf die Abschaltung von Iris Plaza und verbundenen Diensten am 28. Oktober; das Ausmaß eines möglichen Diebstahls von Kundendaten ist weiterhin unbekannt.
Das Unternehmen konnte bislang nicht feststellen, ob Angreifer Kundendatensätze erlangt haben oder wie viele Informationen möglicherweise offengelegt wurden. Die betroffene Cloud-Umgebung enthielt Informationen über aktuelle und ehemalige Mitglieder sowie über Gastkäufer und Teilnehmer an Werbekampagnen.
Cloud-Einbruch gefährdet Kundendaten
Am 28. Oktober entdeckte Iris Plaza eine verdächtige Datei in einem Cloud-Dienst, der den Onlinebetrieb unterstützte. Das Unternehmen setzte seinen Onlineshop und verbundene Systeme außer Betrieb, blockierte den unbefugten Zugriffsweg und leitete eine Untersuchung ein. Es veröffentlichte eine erste Mitteilung zur Datenpanne und informierte am 29. Oktober die Polizei sowie die japanische Datenschutzkommission.
In seinem Update vom 5. November nannte Iris Ohyama zwei Gruppen, deren Informationen möglicherweise eingesehen oder erlangt wurden:
- 5,8 Millionen aktuelle und ehemalige Mitglieder: Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geschlecht, Geburtsdaten und Passwörter. Die Datensätze ehemaliger Mitglieder enthielten keine Passwörter.
- 1,9 Millionen Nichtmitglieder: Namen, Adressen, Telefonnummern und E-Mail-Adressen, die mit Gastkäufen oder Werbekampagnen verbunden waren.
Nicht jedes Feld trifft auf jede Person zu. Das Unternehmen erklärte, dass einige Informationen, darunter Passwörter, verschlüsselt waren, nannte jedoch nicht die verwendete Schutzmethode. Kreditkarteninformationen wurden in dem betroffenen Dienst nicht gespeichert und waren nach Unternehmensangaben nicht kompromittiert.
Zum 5. November meldete Iris Ohyama keinen bekannten Missbrauch persönlicher Informationen und keine damit verbundenen finanziellen Verluste. Der Cloud-Anbieter, die Methode des Erstzugriffs und die Menge der erlangten Daten bleiben unveröffentlicht.
Das Unternehmen setzte vorsorglich außerdem die abonnement- und lieferbezogenen Websites von SIMPLE STYLE und Iris Tech Service außer Betrieb. Für diese Dienste meldete es keinen bestätigten unbefugten Zugriff. Eine separate Datenpanne mit Kundendaten bei Burger King Japan verdeutlicht das Risiko großer Sammlungen von Kontaktdaten, selbst wenn Zahlungsinformationen nicht offengelegt werden.
Risiken für Kundendaten und Reaktion auf Cloud-Sicherheitsvorfälle
Iris Plaza begann am 5. November mit der Organisation individueller Benachrichtigungen und forderte Kunden auf, anderswo wiederverwendete Passwörter zu ersetzen. Kontaktdaten könnten gezieltes Phishing ermöglichen, wie auch die RingCentral-Datenpanne mit 1,6 Millionen E-Mail-Adressen zeigt.
Organisationen, die Kundendaten in Cloud-Umgebungen speichern, können diese Schritte umsetzen, ohne die weiterhin unbekannte Ursache des Angriffs auf Iris Plaza vorauszusetzen:
- Cloud-Zugriffe kontrollieren: Prinzip der geringsten Berechtigung und Multi-Faktor-Authentifizierung durchsetzen; nach offengelegtem Speicher und Abweichungen von Konfigurationen suchen.
- Datenbewegungen erkennen: Authentifizierungs- und Audit-Protokolle überprüfen und Data-Loss-Prevention-Kontrollen einsetzen, um ungewöhnliche Übertragungen zu kennzeichnen.
- Gespeicherte Daten minimieren: Zugangsdaten und Verschlüsselungsschlüssel schützen, vertrauliche Datensätze klassifizieren und Informationen löschen, die über die Aufbewahrungsfristen hinausgehen.
- Zugriffe Dritter überprüfen: Berechtigungen von Anbietern, Softwareabhängigkeiten und Pflichten zur Benachrichtigung bei Sicherheitsvorfällen prüfen. Die Datenpanne bei Frontline Education durch Drittanbietersoftware zeigt, dass Risiken über direkte Cloud-Anbieter hinaus bewertet werden müssen.
- Phishing-Angriffsfläche begrenzen: Einzigartige Passwörter, phishingresistente Authentifizierung und verifizierte Kanäle für Kundenbenachrichtigungen fördern.
- Reaktionspläne für Sicherheitsvorfälle testen: Szenarien für Cloud-Kompromittierungen, Beweissicherung, Eindämmung, Kundenbenachrichtigung und die Wiederherstellung aus geschützten Backups durchspielen.
Iris Plaza hat nicht mitgeteilt, wann der Shop wieder öffnen wird. Die Ermittler müssen weiterhin klären, wie die Angreifer Zugriff erlangten und ob Kundendatensätze erbeutet wurden – die vollständigen Auswirkungen der Datenpanne bleiben damit ungeklärt.
Mehr dazu: Die Offenlegung archivierter Kundendatensätze bei DigiCert zeigt, warum Zugriffsüberprüfungen auch ältere Systeme und aufbewahrte Identitätsdokumente einbeziehen sollten.