日本のメーカーであるアイリスオーヤマは、ショッピングプラットフォーム「アイリスプラザ」の運営元として、同社が利用していたサードパーティのクラウドサービスへの不正アクセスにより、約770万人分の個人情報が流出した可能性があると発表しました。
同社は先月下旬にこのインシデントを発見し、詳細を限定した形で公表しました。あわせて、サイトを一時停止することも告知しています。
今週初めの続報で、同社はアイリスプラザのオンラインストアが利用する外部クラウドサービス内に、不審なファイルを発見したと明らかにしました。
同社は「当社は直ちにアイリスプラザおよび関連システムを停止し、調査を開始しました。第三者による不正アクセスを確認し、10月29日の第一報で公表しました」［機械翻訳］と説明しています。
調査の結果、侵害された外部クラウドサービスに保存されていた顧客データに、不正な攻撃者がアクセスした可能性があることが確認されました。
同社は、流出したレコード数や影響を受けた人数を現在も特定中ですが、影響は最大で、登録会員および元会員580万人と、非会員190万人に及ぶとしています。
アイリスプラザは、アイリスオーヤマグループのオンラインストアです。同グループは、収納用品やLED照明から家電、ガーデン用品まで、幅広い家庭用品を手がける日本の大手メーカーです。
同社の通知によると、流出した可能性がある情報は次のとおりです。
- 氏名
- 住所
- 電話番号
- メールアドレス
- 性別
- 生年月日
- アカウントのパスワード
流出したデータの種類は、個人ごとに異なります。たとえば、元会員のパスワードは保存されていません。
アイリスプラザによると、現会員のパスワードは暗号化した状態で保存していたとのことです。ただし、どの暗号化方式を使用していたかは明らかにしていません。
また同社は、影響を受けたクラウドサービスにクレジットカード情報は保存されていなかったとも説明しています。
11月5日時点で、アイリスプラザには、流出した情報の悪用や、今回のインシデントに関連する金銭的被害の報告は寄せられていません。
このインシデントを受け、同社のオンラインストア（SIMPLE STYLE）と関連システムは10月28日に停止されました。
アイリステックサービス株式会社が提供するサービスのWebサイトも同様です。これには、家電のサブスクリプションや、家具・家電の配送・設置サービスが含まれます。
日本の個人情報保護委員会と警察には、2026年10月29日に通知されました。
BleepingComputerはアイリスプラザに連絡を取り、攻撃の詳細や身代金の要求があったかどうかについて問い合わせました。広報担当者は、攻撃者から直接の連絡は受けておらず、実行犯も特定できていないと述べています。
