- アイリスオーヤマ、ECプラットフォームへの侵入を受け、770万人に影響する情報漏えいを公表
- 流出したのは個人情報と一部の暗号化されたパスワード。同社はパスワードの再設定を推奨
- 同社は引き続き調査中。身代金要求、攻撃者の特定、情報の悪用は確認されていない
日本の大手生活用品メーカー、アイリスオーヤマ（Iris Ohyama）が、サイバー攻撃を受けて770万人分のデータを失ったことを認めました。
同社が最初に情報漏えいを公表したのは2026年10月29日です。ECサイト「アイリスプラザ（Iris Plaza）」への「不正アクセス」を確認したと発表しました。当時、同社は調査中であるとしたうえで、顧客の安全を確保するためサイトを一時停止するとしていました。情報漏えいの可能性を調べる一方で、クレジットカード情報は盗まれていないと強調していました。
その1週間後、アイリスオーヤマはさらに詳しい報告を公表しました。それによると、10月28日に、同社が利用する外部クラウドサービス上で「不審なファイル」を発見したといいます。その後の調査で、攻撃者が770万人分の機微なデータを盗んだことが判明しました。内訳は、会員データが約580万人分、非会員データが190万人分です。
会員データには、氏名、住所、電話番号、メールアドレス、性別、生年月日のほか、一部のユーザーについては暗号化されたパスワードが含まれていました。非会員データは、氏名、住所、電話番号、メールアドレスに限られます。
ハッシュ化されたパスワードと認証情報の窃取
パスワードが暗号化されていたことは朗報です。アカウントに簡単には不正アクセスできないことを意味するためです。ただし、同社は暗号化やハッシュ化の方式を明らかにしていません。そのため、攻撃者がオフラインで一部を解読する可能性は残ります。同社が利用者にログイン情報の更新を呼びかけたのも当然でしょう。特に、他のサービスでも同じパスワードを使っている人は注意が必要です。
複数のプラットフォームで同じパスワードを使い回している場合、すべてのアカウントが危険にさらされるおそれがあります。攻撃者は、盗んだ認証情報の組み合わせを多数のサービスで試すことで知られているからです。
誰がアイリスオーヤマを狙ったのか、その目的は何なのかは分かっていません。犯行声明を出した攻撃グループはまだなく、データもダークウェブには流出していません。フィッシングやソーシャルエンジニアリング攻撃で悪用された形跡も見つかっていません。
BleepingComputerに寄せた声明で、同社は攻撃者から直接の連絡や身代金の要求はなく、攻撃者が何者かも把握していないと述べました。
アイリスオーヤマが利用していたサードパーティのクラウドサービスがどれなのか、どのマルウェアが使われたのか、それがどのように仕込まれたのかも明らかになっていません。同社は、国の個人情報保護当局と地元の法執行機関に届け出たとしています。
狙われる日本の組織
ここ数カ月、日本の組織はさまざまな規模・業種を狙ったサイバー攻撃の波にさらされています。先月だけでも、GMOへの攻撃、日本のバーガーキングでの情報漏えい、第一興商へのマルウェア攻撃を報じました。なかでもGMOへの攻撃は深刻でした。同社が顧客に対し「PCにつながっているコードをすべて抜く」よう呼びかけたためです。
バーガーキング・ジャパンも最近、1,118万人分の顧客の機微なデータを失いました。その大半は同社の公式スマートフォンアプリの利用者です。また、第一興商のサプライチェーンを狙ったマルウェア攻撃では、顧客と従業員を合わせて870万人分の情報が流出しました。
いずれも大規模な組織や大企業であり、アイリスオーヤマも例外ではありません。同社は大手の生活用品メーカーで、家電や日用品でよく知られています。数十年にわたり、エアコン、掃除機、キッチン用品、照明、ペットフードやペット用品のほか、米や水といったさまざまな食品を手がけてきました。
2025年度の年間売上高は15億3,000万ドル、従業員数は6,300人以上と報告されています。米国、欧州、中国、韓国に製造・流通拠点を持ち、海外でも存在感があります。
