クラウドへの侵入により、日本の小売業者Iris Plazaのオンラインストアが休止し、アカウント登録をしていない利用者を含む770万人の個人情報がリスクにさらされている。
親会社のIris Ohyamaは2026年11月5日、外部クラウドサービスへの不正アクセスを確認したとして、影響の可能性がある規模を公表した。調査は、Iris Plazaと関連サービスが10月28日に停止して以降続いており、顧客データが盗まれたかどうか、またその範囲は依然として不明だ。
同社は、攻撃者が顧客記録を取得したかどうかや、どの程度の情報が流出した可能性があるかを特定できていない。影響を受けたクラウド環境には、現会員と元会員に加え、ゲスト購入者や販促キャンペーン参加者の情報も含まれていた。
クラウド侵入で顧客記録がリスクに
10月28日、Iris Plazaはオンライン業務を支えるクラウドサービス内で不審なファイルを発見した。同社は店舗と関連システムを停止し、不正アクセス経路を遮断して調査を開始し、初回の侵害通知を発表した。さらに10月29日、警察と日本の個人情報保護委員会に届け出た。
Iris Ohyamaは11月5日の更新報告で、情報がアクセスまたは取得された可能性のある2つのグループを明らかにした。
- 現会員・元会員580万人：氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワード。元会員の記録にはパスワードは含まれていなかった。
- 非会員190万人：ゲスト購入または販促キャンペーンに関連する氏名、住所、電話番号、メールアドレス。
すべての情報項目が全員に当てはまるわけではない。同社によると、パスワードを含む一部の情報は暗号化されていたが、保護方式は明らかにしていない。クレジットカード情報は影響を受けたサービスには保存されておらず、侵害も受けていないという。
11月5日時点で、Iris Ohyamaは個人情報の不正利用や関連する金銭的損失を把握していないと報告した。クラウドプロバイダー、最初のアクセス方法、取得されたデータ量は明らかにされていない。
同社は予防措置として、SIMPLE STYLEとIris Tech Serviceのサブスクリプションおよび配送関連のウェブサイトも停止した。これらのサービスで不正アクセスが確認された事実はないと報告している。別のBurger King Japanの顧客データ侵害は、決済情報が流出していない場合でも、大量の連絡先情報がもたらすリスクを示している。
顧客データのリスクとクラウドセキュリティへの対応
Iris Plazaは11月5日、個別通知の手配を開始し、他のサービスで使い回しているパスワードを変更するよう顧客に呼びかけた。連絡先情報は標的型フィッシングに悪用される可能性があり、メールアドレス160万件が関与したRingCentralの侵害もそれを示している。
顧客データをクラウド環境で保有する組織は、Iris Plazaへの侵入の原因がまだ明らかになっていないことを前提にせず、次の対策を講じることができる。
- クラウドアクセスを管理する：最小権限と多要素認証を徹底し、公開されたストレージや設定のドリフトをスキャンする。
- データの移動を検知する：認証ログと監査ログを確認し、データ損失防止機能を使って異常な転送を検知する。
- 保存データを最小限にする：認証情報と暗号鍵を保護し、機密記録を分類したうえで、保存期間の要件を超えた情報を削除する。
- 第三者アクセスを見直す：ベンダーの権限、ソフトウェアの依存関係、インシデント通知義務を監査する。第三者ソフトウェアに関するFrontline Educationの侵害は、直接のクラウドプロバイダーにとどまらず、リスクを評価する必要性を示している。
- フィッシングへの露出を抑える：固有のパスワード、フィッシング耐性のある認証、検証済みの顧客通知経路の利用を推進する。
- インシデント対応計画をテストする：クラウド侵害のシナリオ、証拠保全、封じ込め、顧客への通知、保護されたバックアップからの復旧を演習する。
Iris Plazaは、店舗をいつ再開するかを発表していない。攻撃者がどのようにアクセスを得たのか、顧客記録が取得されたのかを調査担当者が特定する必要があり、侵害の全容はなお明らかになっていない。
詳しくは「保存された顧客記録に関するDigiCertの情報露出は、古いシステムや保持された本人確認書類もアクセスレビューの対象にすべき理由を示している。