Invasão a serviço de nuvem de terceiros expõe dados de 7,7 milhões de clientes da Iris Ohyama

A Iris Ohyama, fabricante japonesa que opera a loja online Iris Plaza, informou que dados de cerca de 7,7 milhões de pessoas podem ter sido expostos após acesso não autorizado a um serviço de nuvem de terceiros. A empresa achou um arquivo suspeito no serviço externo usado pela loja, suspendeu o Iris Plaza e os sistemas relacionados em 28 de outubro de 2026 e confirmou o acesso indevido no primeiro comunicado, em 29 de outubro de 2026. A Comissão de Proteção de Informações Pessoais do Japão e a polícia foram notificadas na mesma data.

O alcance chega a até 5,8 milhões de membros atuais e antigos e 1,9 milhão de não membros. Segundo a empresa, os tipos de dado expostos variam por pessoa, e ex-membros não têm senha armazenada. As senhas de membros ativos ficam criptografadas, mas a empresa não disse qual esquema usa. Dados de cartão de crédito não estavam no serviço afetado. Até 5 de novembro de 2026, não havia relatos de uso indevido nem prejuízo financeiro. A empresa diz que ainda apura o número exato de registros e não recebeu contato direto do atacante nem identificou os responsáveis, o que deixa em aberto a questão de um pedido de resgate.

Para quem opera segurança, o caso reforça que o risco está também no fornecedor de nuvem usado pelo e-commerce. Sem saber o algoritmo das senhas, a leitura prudente é tratar a exposição como potencialmente séria, sobretudo onde há reutilização de credenciais. Nomes, telefones e datas de nascimento ainda servem a phishing direcionado.