Riassunto:
Iris Ohyama, un noto produttore giapponese di elettrodomestici e prodotti per la casa, ha recentemente rivelato un grave incidente relativo alla sicurezza dei dati. Il centro commerciale online ufficiale dell'azienda, Iris Plaza, ha subito un attacco informatico. L'aggressore ha avuto accesso illegalmente al servizio cloud di terzi utilizzato dall'azienda, provocando il furto o la visualizzazione dei dati personali di circa 7,7 milioni di utenti. Attualmente, la società ha sospeso i siti Web pertinenti e alcuni servizi correlati e sta indagando sull'impatto specifico dell'incidente.
Alice Oyama ha scoperto un'anomalia il 28 ottobre 2026. In quel momento, il personale ha scoperto un file sospetto nel servizio di archiviazione cloud esterno utilizzato dall'azienda e ha immediatamente chiuso il centro commerciale online Iris Plaza e i relativi sistemi e ha avviato un'indagine. Il 29 ottobre l'azienda ha confermato che si era verificato un accesso illegale da parte di terzi e ha segnalato il fatto alla polizia giapponese e alla Commissione per la protezione dei dati personali.
Il 5 novembre, la società ha emesso un secondo annuncio, rivelando ulteriormente l'entità dei dati che potrebbero essere interessati. Secondo le informazioni attualmente disponibili, il totale dei dati personali coinvolti ammonta a circa 7,7 milioni di persone, di cui circa 5,8 milioni di membri attuali e precedentemente registrati e circa 1,9 milioni di utenti non membri. Tra questi ultimi rientrano soprattutto i consumatori che acquistano direttamente i beni senza registrare un account, nonché le persone che hanno partecipato a promozioni e concorsi aziendali.
Le informazioni che potrebbero essere trapelate variano a seconda dell'identità dell'utente. Per i membri registrati, i dati coinvolti includono nome, indirizzo, numero di telefono, indirizzo e-mail, sesso, data di nascita, password dell'account, ecc. Per gli utenti non membri, le informazioni che potrebbero essere interessate includono principalmente nome, indirizzo, numero di telefono e indirizzo e-mail.
Vale la pena notare che anche gli utenti che hanno cancellato il proprio account potrebbero essere interessati, ma la società ha dichiarato che i dati dei membri cancellati non contengono informazioni sulla password. Per le password e alcune altre informazioni ancora conservate, l'azienda ha precedentemente utilizzato la crittografia per archiviarle, ma non ha ancora divulgato in dettaglio gli specifici algoritmi di crittografia e le misure di protezione.
Un aspetto relativamente rassicurante di questo incidente è che i dati della carta di credito non sono stati compromessi. Alice Oyama ha affermato che i dati della carta di credito non erano originariamente archiviati nel servizio cloud di terze parti a cui questa volta si è effettuato l'accesso illegalmente e pertanto non rientrano nell'ambito della potenziale fuga di dati di questo incidente. Al 5 novembre, la società non ha ricevuto segnalazioni di perdite di fondi o furti di conti direttamente correlati a questo incidente.
L'attacco ha inoltre indotto Alice Oyama a sospendere altre parti della sua attività online. Oltre al sito ufficiale di shopping Iris Plaza, dal 28 ottobre ha cessato di funzionare anche il sito web di SIMPLE STYLE, il marchio di moda per la casa dell'azienda. Inoltre, anche il servizio di abbonamento di elettrodomestici gestito dalla società affiliata al gruppo Iris Tech Service, così come il sito web del servizio di consegna e installazione di mobili ed elettrodomestici, hanno temporaneamente smesso di accettare nuove richieste.
L'azienda ha sottolineato di non aver riscontrato alcun accesso illegale o perdita di dati nei servizi correlati sopra menzionati, ma per evitare che l'incidente si espanda, ha comunque deciso di chiudere temporaneamente i sistemi pertinenti. Per quanto riguarda la ripresa delle attività, al momento non c'è una tabella di marcia.
D'altra parte, i negozi ufficiali di Alice Oyama sono stati aperti su piattaforme di e-commerce di terze parti come Rakuten Market, Yahoo! Shopping e au PAY Market in Giappone non hanno riscontrato alcuna anomalia correlata a questo incidente e possono ancora funzionare normalmente. Per le merci ordinate tramite Iris Plaza, la società ha affermato che continuerà a organizzare le spedizioni, ma alcuni ordini potrebbero subire ritardi.
Al momento, gli investigatori non hanno confermato l'identità dell'aggressore, né il suo specifico metodo di intrusione. La società non ha rivelato il nome del fornitore di servizi cloud di terze parti e ha affermato di non aver ricevuto richieste di contatto diretto o di ricatto da parte degli aggressori. Resta da indagare ulteriormente se si tratti di un attacco mirato al sistema di archiviazione nel cloud o di un furto di dati sfruttando una vulnerabilità di sicurezza in un servizio di terzi.
Iris Oyama ricorda ai consumatori che se la password utilizzata su Iris Plaza viene utilizzata anche su altri siti Web o servizi di rete, è necessario modificare la password dell'account pertinente il prima possibile. Poiché questo incidente coinvolge informazioni personali come nome, indirizzo, numero di telefono e data di nascita, gli aggressori potrebbero anche utilizzare queste informazioni reali per eseguire in futuro precise truffe di phishing, ad esempio spacciandosi per una piattaforma di shopping per inviare avvisi di rimborso, promemoria di anomalie logistiche o avvisi di sicurezza dell'account.
L'azienda ricorda espressamente agli utenti di diffidare di e-mail, messaggi di testo, telefonate e siti Web falsi che fingono di essere Alice Oyama e le relative agenzie governative. Il personale ufficiale non chiederà agli utenti di fornire password, numeri di identificazione personale o codici di autenticazione tramite e-mail o messaggi di testo, né chiederà agli utenti di inserire tali informazioni sensibili tramite collegamenti sconosciuti.
Per i consumatori che potrebbero essere interessati, l'azienda prevede di avvisare i consumatori uno per uno tramite e-mail e altri metodi in base allo stato di avanzamento dell'indagine. Al momento non è disponibile uno strumento online per verificare pubblicamente se un individuo è stato colpito.
Questo incidente evidenzia ancora una volta i rischi per la sicurezza dei dati affrontati dalle grandi aziende di vendita al dettaglio che si affidano a servizi cloud di terze parti. Anche se il sito web ufficiale dell'azienda e i sistemi interni non vengono attaccati direttamente, finché esistono vulnerabilità di sicurezza nella piattaforma cloud esterna che memorizza i dati dei clienti, le informazioni di milioni di consumatori potrebbero comunque essere esposte. Per le aziende di vendita al dettaglio con enormi database di utenti, la gestione delle autorizzazioni, la crittografia dei dati, il monitoraggio degli accessi e la revisione della sicurezza dei fornitori di servizi cloud di terze parti sono diventati collegamenti di sicurezza che non possono essere ignorati.
Commenti