日本家用品製造商 Iris Ohyama 旗下官方購物網站「Iris Plaza」使用的外部雲端服務（cloud service）遭第三方未授權存取（unauthorized access），最多約 770 萬人的個人資料可能外洩。據外媒報導，營運該網站的 Iris Plaza 公司於 10 月 28 日在雲端服務中發現可疑檔案，隨即暫停網站與相關系統，並於 11 月 5 日發布第二次通報。實際外洩筆數與受影響人數仍在調查中，目前尚未接獲個資遭濫用的通報。
約 770 萬人資料存放於受影響的雲端服務
Iris Ohyama 是日本大型家用品製造商，產品涵蓋收納用品、LED 照明、家電與園藝配件。Iris Plaza 是該集團的線上購物平台，由集團旗下的 Iris Plaza 公司營運。
調查已確認，儲存在該外部雲端服務中的客戶資料可能遭未授權者存取。受影響範圍最多包括約 580 萬名現任與前任註冊會員，以及約 190 萬名非會員，合計約 770 萬人。
Iris Plaza 說明，770 萬人是雲端中所儲存個資的總人數，目前確認這些資料可能遭檢視或取得，但實際外洩筆數與受影響人數仍待釐清。
會員與非會員可能外洩的資料欄位不同
會員資料可能外洩的欄位包括姓名、地址、電話號碼、電子郵件信箱、性別、出生日期與帳號密碼。非會員包括未註冊就購物的民眾與活動參加者，可能外洩的欄位為姓名、地址、電話號碼與電子郵件信箱。實際外洩欄位因人而異，前會員的資料不含密碼。
Iris Plaza 表示，現任註冊會員的密碼以加密（encryption）形式儲存，但未說明採用何種加密機制。信用卡資訊並未儲存在受影響的雲端服務中，因此不受影響。至於 Iris Plaza 在其他外部電商平台開設的店鋪，目前未發現未授權存取或資料外洩。
相關網站持續暫停，攻擊者身分未明
Iris Plaza 於 10 月 28 日發現可疑檔案後，立即暫停「Iris Plaza」與相關系統，並封鎖未授權存取路徑。確認有第三方未授權存取後，於 10 月 29 日發布第一次通報，並於同日向日本個人情報保護委員會與警方通報。
除了線上商店「SIMPLE STYLE」，集團旗下提供家電訂閱，以及家具與家電配送安裝服務的 Iris Tech Service，其相關網站也自 10 月 28 日起暫停。目前尚未公布網站重新開放的日期，Iris Plaza 將在相關機關與外部專家協助下，釐清事件全貌並盡速復原。
另據外媒向 Iris Plaza 查詢，發言人表示，未接獲攻擊者的直接聯繫，也尚未查明攻擊者身分。截至 11 月 5 日，Iris Plaza 未接獲與此事件有關的個資濫用或金錢損失通報。Iris Plaza 自 11 月 5 日起開始通知客戶，後續將視調查進展，以電子郵件等方式個別聯繫。
公司提醒用戶注意事項
Iris Plaza 對用戶提出以下提醒：
- 曾在其他服務重複使用 Iris Plaza 密碼者，應儘速更換這些服務的密碼
- 提防冒名的電子郵件、簡訊、電話、網站與社群媒體帳號
- 正式通知不會索取密碼、PIN 碼或驗證碼等敏感資訊
本文轉載自 BleepingComputer 報導與 Iris Ohyama 官方公告。