Iris Ohyama : jusqu’à 7,7 millions de fiches ont pu sortir d’un cloud externe

Iris Plaza, la société du groupe Iris Ohyama qui exploite la boutique en ligne du même nom, a indiqué le 5 novembre 2026 que des données personnelles concernant environ 7,7 millions de personnes ont pu être consultées ou extraites après un accès non autorisé à un service cloud externe. Le nombre réel de fiches sorties, et le nombre de personnes touchées, restaient en cours d’enquête à la date de cet avis.

Un fichier suspect le 28 octobre, un second avis le 5 novembre

L’avis, présenté comme un second point, émane de Kabushiki Kaisha Iris Plaza, siège à Sendai, dans la préfecture de Miyagi, président Ryota Iwasaki. Le 28 octobre 2026, la société a découvert un fichier suspect dans un service cloud externe qu’elle utilise. Elle a aussitôt arrêté Iris Plaza et les systèmes liés, et ouvert une enquête. Elle a confirmé un accès par un tiers, puis publié un premier avis le 29 octobre.

La suite de l’enquête a établi que des données conservées dans ce cloud ont pu sortir du service. Le stock de données personnelles y atteignait environ 7,7 millions de personnes. Au 5 novembre, Iris Plaza écrivait avoir confirmé la possibilité que ces données aient été consultées ou obtenues. Elle ajoutait n’avoir, à cette date, aucun signalement d’usage frauduleux ni de dommage financier lié à l’affaire.

Membres, non-membres, et ce qui est chiffré

Le tableau du 5 novembre sépare deux ensembles. Les données de membres, y compris les comptes déjà résiliés, peuvent comprendre le nom, l’adresse, le téléphone, l’adresse électronique, le sexe, le mot de passe et la date de naissance, pour environ 5,8 millions de personnes. Les non-membres, personnes ayant acheté sans compte ou ayant répondu à une campagne, peuvent avoir laissé un nom, une adresse, un téléphone et un e-mail, pour environ 1,9 million de personnes.

L’entreprise précise que ces rubriques ne sont pas toutes présentes pour chaque personne : cela dépend de ce qui a été enregistré. Une partie des champs, dont les mots de passe, est chiffrée. L’avis ne nomme pas l’algorithme. Les comptes résiliés sont exclus des informations de mot de passe. Le même jour, un article de BleepingComputer, qui s’appuie sur cet avis, résumait la même répartition : mots de passe chiffrés pour les membres actifs, pas de mot de passe conservé pour les anciens membres.

Les numéros de carte bancaire n’étaient pas stockés dans le cloud concerné, et Iris Plaza écrit avoir vérifié qu’ils ne sont pas touchés par cet accès. Les boutiques qu’elle opère sur d’autres places de marché en ligne n’avaient, au 5 novembre, pas d’accès non autorisé ni de fuite confirmés dans cette affaire.

Sites arrêtés, et consignes aux clients

Le 29 octobre, la société a signalé les faits à la police et à la Commission japonaise de protection des informations personnelles. Elle dit traiter en priorité les personnes dont les données ont pu être exposées, et commencer le jour de l’avis des messages individuels, notamment par e-mail. Elle prévient qu’elle ne demandera pas, dans ces messages, un mot de passe, un code PIN, un code d’authentification, ni la saisie de ces éléments derrière un lien reçu par e-mail ou par SMS.

La réouverture d’Iris Plaza sera annoncée une fois la cause identifiée et des mesures de prévention en place. En attendant, deux autres vitrines sont arrêtées depuis le 28 octobre. Simple Style, la boutique spécialisée dans l’aménagement de la maison, est hors ligne. Les sites d’Iris Tech Service, qui portent un service d’abonnement d’électroménager et des prestations de livraison et d’installation de meubles et d’appareils, sont arrêtés et ne prennent plus de nouvelles demandes. Sur ces deux activités, l’avis du 5 novembre ne confirme pas d’accès non autorisé ni de fuite.

Iris Plaza demande aux personnes concernées de changer le mot de passe partout où le même secret a été réutilisé. Elle alerte aussi sur de possibles courriels, SMS, appels, sites ou comptes de réseaux sociaux qui imiteraient la marque ou les autorités. La consigne est de ne pas ouvrir de pièce jointe, de ne pas suivre de lien, de ne pas répondre, et de ne pas saisir d’identifiants ni de données de carte.

Ce dossier japonais ne se confond pas avec l’avis de Smartbox du 3 novembre, qui portait sur des noms et des adresses électroniques pouvant avoir été consultés, sans mots de passe ni cartes selon la marque. Ici, le périmètre annoncé est plus large, les mots de passe de membres actifs sont dans le lot, sous forme chiffrée, et le volume cité est d’environ 7,7 millions de personnes.

Sources

• Second avis d’Iris Plaza (PDF), 5 novembre 2026.

• Iris Ohyama data cloud breach exposes info of 7.7 million customers, BleepingComputer, 8 novembre 2026.