Síntesis
Un acceso no autorizado a un servicio externo en la nube que utiliza Iris Plaza, la tienda en línea oficial del fabricante japonés de electrodomésticos Iris Ohyama, pudo exponer nombres, direcciones, teléfonos y contraseñas cifradas de millones de personas. La empresa cerró el sitio el 28 de octubre y todavía investiga cuántos datos salieron realmente.
- La nube comprometida guardaba datos de unos 5,8 millones de clientes registrados y de 1,9 millones de personas que compraron sin crear una cuenta.
- Las tarjetas de crédito no estaban en ese servicio y no fueron afectadas.
- Hasta ahora no se han reportado fraudes ni pérdidas económicas.
- La tienda en línea y otros servicios del grupo siguen suspendidos.
Noticia
Iris Ohyama, fabricante japonés de electrodomésticos, muebles y artículos para el hogar, confirmó un acceso no autorizado que afecta a Iris Plaza, la tienda en línea oficial que opera su filial del mismo nombre. El 28 de octubre, la empresa encontró un archivo sospechoso en un servicio externo en la nube que usa el sitio, y lo cerró de inmediato junto con los sistemas relacionados.
El 29 de octubre la compañía publicó un primer aviso, y ese mismo día denunció el caso ante la policía y la Comisión de Protección de Información Personal de Japón. En su segundo informe, del 5 de noviembre, confirmó que los datos guardados en ese servicio pudieron filtrarse, y que pudieron haber sido vistos u obtenidos por terceros.
La nube guardaba información de unos 5,8 millones de clientes con cuenta en la tienda, incluidos personas que ya la habían cerrado sus cuentas. Entre los datos figuran nombres, direcciones, teléfonos, correos, géneros, fechas de nacimiento y contraseñas. También tenía nombre, dirección, teléfono y correo de 1,9 millones de personas que compraron sin registrarse o que participaron en campañas de la empresa.
Según la compañía, “no toda la información señalada sobre nuestros clientes ha sido filtrada”, porque los datos varían según cada registro. Por ejemplo, no se guardaban contraseñas de quienes cerraron su cuenta. Las de los clientes activos estaban cifradas, aunque la empresa no ha dicho con qué método.
Las tarjetas de crédito no se guardaban en ese servicio y no se vieron afectadas. Tampoco se detectaron accesos a las tiendas de Iris Plaza en otros centros comerciales en línea, como Rakuten y Yahoo! Shopping, que siguen funcionando.
Iris Ohyama todavía no ha confirmado cuántos registros salieron realmente, ni ha identificado al proveedor de la nube ni el método de ataque. Según la empresa, “no ha habido reportes de uso no autorizado ni daños económicos” vinculados al incidente.
Ningún grupo se ha atribuido el ataque. El medio especializado BleepingComputer informó que la la empresa no ha recibido comunicaciones de los atacantes y que aún no los ha identificado.
La tienda sigue sin fecha de reapertura y hay envíos retrasados. También se suspendieron SIMPLE STYLE, otra tienda del grupo, y los servicios de suscripción e instalación de electrodomésticos de Iris Tech Service, aunque no hay evidencia de que fueran comprometidos.
La empresa empezó a contactar a los afectados uno a uno, y pide cambiar la contraseña a quienes la reutilizan en otros servicios. También advierte sobre correos, SMS, llamadas y sitios falsos, advirtiendo a sus clientes que “nunca le pediremos su contraseña, PIN, código de autenticación ni otra información importante”.
El caso se suma a una serie de ataques recientes contra empresas japonesas, entre ellos los que afectaron a Burger King Japón y a la cadena de suministro de Daiichi Kosho.
