Une faille dans le cloud a mis hors ligne le magasin en ligne du distributeur japonais Iris Plaza et exposé les informations personnelles de 7,7 millions de personnes, y compris des clients qui n’avaient jamais créé de compte.,
La société mère Iris Ohyama a révélé l’ampleur potentielle de l’incident le 5 novembre 2026, après avoir confirmé un accès non autorisé à un service cloud externe. L’enquête fait suite à la fermeture d’Iris Plaza et des services associés le 28 octobre, tandis que l’étendue d’un éventuel vol de données clients reste inconnue.
L’entreprise n’a pas établi si les attaquants avaient obtenu des données clients ni quelle quantité d’informations avait pu être exposée. L’environnement cloud concerné contenait des informations sur les membres actuels et anciens, ainsi que sur les acheteurs invités et les participants à des campagnes promotionnelles.
Une intrusion dans le cloud met les données clients en danger
Le 28 octobre, Iris Plaza a découvert un fichier suspect dans un service cloud prenant en charge ses activités en ligne. L’entreprise a suspendu son magasin et les systèmes associés, bloqué la voie d’accès non autorisée et lancé une enquête. Elle a publié un premier avis de violation et informé la police ainsi que la Commission japonaise de protection des informations personnelles le 29 octobre.
Dans sa mise à jour du 5 novembre, Iris Ohyama a identifié deux groupes dont les informations pourraient avoir été consultées ou récupérées :
- 5,8 millions de membres actuels et anciens : Noms, adresses, numéros de téléphone, adresses e-mail, sexe, dates de naissance et mots de passe. Les dossiers des anciens membres ne comprenaient pas de mots de passe.
- 1,9 million de personnes non membres : Noms, adresses, numéros de téléphone et adresses e-mail associés à des achats en tant qu’invité ou à des campagnes promotionnelles.
Tous les champs ne s’appliquent pas à chaque personne. L’entreprise a indiqué que certaines informations, notamment les mots de passe, étaient chiffrées, sans préciser la méthode de protection utilisée. Les informations de carte bancaire n’étaient pas stockées dans le service concerné et n’ont pas été compromises, a-t-elle ajouté.
Au 5 novembre, Iris Ohyama n’avait connaissance d’aucune utilisation abusive d’informations personnelles ni d’aucune perte financière associée. Le fournisseur cloud, la méthode d’accès initiale et la quantité de données obtenues restent inconnus.
L’entreprise a également suspendu les sites d’abonnement et de livraison de SIMPLE STYLE et d’Iris Tech Service par mesure de précaution. Elle n’a signalé aucun accès non autorisé confirmé sur ces services. Une autre fuite de données clients de Burger King Japan illustre le risque posé par d’importantes collections de coordonnées, même lorsque les informations de paiement ne sont pas exposées.
Risques liés aux données clients et réaction face à une faille cloud
Iris Plaza a commencé à organiser des notifications individuelles le 5 novembre et a invité ses clients à remplacer les mots de passe réutilisés ailleurs. Les coordonnées pourraient servir à mener des campagnes d’hameçonnage ciblées, comme le piratage de RingCentral ayant exposé 1,6 million d’adresses e-mail le montre également.
Les organisations qui stockent des données clients dans des environnements cloud peuvent prendre les mesures suivantes sans présumer de la cause, toujours inconnue, de l’intrusion d’Iris Plaza :
- Contrôler les accès au cloud : Appliquer le principe du moindre privilège et l’authentification multifacteur ; rechercher les stockages exposés et les dérives de configuration.
- Détecter les mouvements de données : Examiner les journaux d’authentification et d’audit, et utiliser des contrôles de prévention des pertes de données pour signaler les transferts inhabituels.
- Réduire les données stockées : Protéger les identifiants et les clés de chiffrement, classer les dossiers sensibles et supprimer les informations conservées au-delà des durées requises.
- Examiner les accès des tiers : Auditer les autorisations des fournisseurs, les dépendances logicielles et les obligations de notification en cas d’incident. La faille de Frontline Education impliquant un logiciel tiers montre qu’il faut évaluer les risques au-delà des seuls fournisseurs cloud directs.
- Limiter l’exposition à l’hameçonnage : Promouvoir l’utilisation de mots de passe uniques, d’une authentification résistante à l’hameçonnage et de canaux vérifiés pour notifier les clients.
- Tester les plans de réaction aux incidents : Répéter les scénarios de compromission du cloud, la préservation des preuves, le confinement, la notification des clients et la restauration à partir de sauvegardes protégées.
Iris Plaza n’a pas annoncé quand son magasin rouvrirait. Les enquêteurs doivent encore déterminer comment les attaquants ont obtenu l’accès et si des données clients ont été récupérées, laissant l’impact total de la fuite indéterminé.
Pour en savoir plus : L’exposition par DigiCert de dossiers clients archivés montre pourquoi les audits d’accès doivent inclure les anciens systèmes et les pièces d’identité conservées.