El fabricante japonés Iris Ohyama ha confirmado que la información personal de unos 7,7 millones de personas podría haber quedado expuesta tras un acceso no autorizado a un servicio en la nube de un tercero que utilizaba su tienda online, Iris Plaza. La empresa lo descubrió a finales de octubre y lo hizo público el 29 de octubre; el 8 de noviembre, BleepingComputer publicó los detalles de la última actualización de la compañía, que eleva el alcance potencial a casi ocho millones de afectados.
Qué pasó
El 28 de octubre, Iris Ohyama encontró un archivo sospechoso en un servicio externo en la nube que usaba la tienda Iris Plaza. La reacción fue inmediata: ese mismo día suspendió la tienda online y los sistemas relacionados y abrió una investigación. Un día después, el 29 de octubre, confirmó el acceso no autorizado de un tercero y lo notificó a la Comisión de Protección de Datos Personales de Japón y a la policía.
La investigación posterior confirmó que los datos de clientes almacenados en ese servicio en la nube podrían haber sido consultados por actores no autorizados. La empresa insiste en que aún no ha determinado cuántos registros se vieron realmente afectados: 7,7 millones es el máximo potencial, no una cifra confirmada de víctimas.
A quién afecta y qué datos están en juego
El impacto potencial se reparte en dos grupos:
- Hasta 5,8 millones de miembros registrados y antiguos miembros: nombres completos, direcciones, teléfonos, correos electrónicos, sexo, fechas de nacimiento y contraseñas de cuenta.
- Hasta 1,9 millones de no miembros (compradores sin registro y participantes en campañas): nombres, direcciones, teléfonos y correos electrónicos.
Hay dos matices importantes. Primero, las contraseñas de los miembros activos estaban almacenadas cifradas, aunque la empresa no ha especificado con qué esquema; los antiguos miembros no tenían contraseñas guardadas. Segundo, la información de las tarjetas de crédito no estaba almacenada en el servicio en la nube afectado, por lo que no se vio comprometida.
A 5 de noviembre, Iris Plaza no había recibido ningún informe de uso indebido de la información expuesta ni de pérdidas económicas vinculadas al incidente. Tampoco ha recibido comunicación directa del atacante ni ha identificado a los responsables, según declaró un portavoz a BleepingComputer. La empresa comenzó a notificar a los clientes el 5 de noviembre, con correos individuales y más comunicaciones a medida que avanza la investigación.
No es un caso aislado: Japón vive una oleada de brechas
El caso Iris Plaza llega en plena oleada de grandes brechas en Japón durante 2026. Según el seguimiento de Japan Cyber Watch, en la misma semana se sumaron a la lista minoristas como Nojima y el portal de belleza @cosme, y el número de brechas de más de un millón de afectados en lo que va de año subió de 49 a 61 en una sola semana.
La respuesta del gobierno japonés ha sido contundente: el 6 de noviembre, los ministros reunidos por la primera ministra Takaichi aprobaron un paquete de contramedidas de emergencia en ciberseguridad, y la Agencia Nacional de Policía abrió una investigación conjunta a nivel nacional sobre las grandes brechas registradas desde enero.
El patrón se repite en los casos recientes: el punto de entrada no es el sistema principal de la víctima, sino un proveedor o un servicio externo. Es el mismo patrón que el robo de 133 millones de dólares a Crédit Mutuel Arkéa a través de un proveedor de servicios, o la brecha de Japan Airlines por un acceso no autorizado al sistema de Amadeus. La cadena de suministro digital se ha convertido en la puerta lateral favorita de los atacantes.
El ángulo Blue Team: qué vigilaría un SOC
1. Tu nube no es solo tu nube. El compromiso fue en un servicio en la nube de un tercero, no en la infraestructura propia de Iris Ohyama. Un SOC debe tener inventario de todos los servicios externos que almacenan datos de clientes y exigirles los mismos controles que a los sistemas internos: registros de acceso, alertas de actividad anómala y revisión periódica de permisos.
2. Un archivo sospechoso es una señal de detección, no un detalle. La brecha se descubrió por un archivo extraño en el entorno en la nube. Las detecciones que importan aquí: subida de archivos no autorizados a buckets o servicios de almacenamiento, cambios en permisos de acceso, descargas masivas de datos y accesos desde ubicaciones o horarios inusuales.
3. Las contraseñas cifradas no son contraseñas seguras. Que un hash esté cifrado no significa que sea invulnerable: con suficiente tiempo y potencia de cálculo, los hashes débiles se rompen. Si tu organización almacena contraseñas, usa algoritmos de hash lentos y con sal (como bcrypt o Argon2) y revisa periódicamente que no haya esquemas obsoletos en producción.
4. Prepárate para la segunda oleada: phishing y credential stuffing. Aunque aún no hay informes de uso indebido, los datos expuestos —nombres, correos, teléfonos y fechas de nacimiento— son la materia prima perfecta para campañas de phishing muy creíbles y para probar las contraseñas robadas en otros servicios. Los SOC deben vigilar picos de intentos de inicio de sesión fallidos, accesos desde IPs nuevas y registros de dominios que imiten a la marca afectada.
5. La comunicación también es un control de seguridad. Iris Ohyama suspendió el servicio el mismo día del hallazgo, notificó a las autoridades al día siguiente y empezó a avisar a los clientes en una semana. Esa velocidad limita el daño y la ventana de explotación. Un plan de respuesta a incidentes debe incluir plantillas de notificación y canales claros, no improvisarse en caliente.
Qué hacer
- Si eres cliente de Iris Plaza, cambia tu contraseña y, si la reutilizabas en otros servicios, cámbiala también allí. Activa la autenticación multifactor donde esté disponible.
- Desconfía de correos y llamadas que mencionen la brecha: los atacantes usarán los datos filtrados para hacerse pasar por la tienda. Verifica cualquier mensaje a través de los canales oficiales.
- Si gestionas una tienda online o un SaaS, revisa qué servicios externos en la nube guardan datos de tus clientes, qué credenciales de acceso tienen y quién puede ver sus registros.
- Monitoriza los intentos de acceso a tus cuentas y servicios: un repunte de logins fallidos o de restablecimientos de contraseña puede ser la primera señal de que tus credenciales están circulando.
- No esperes a que el proveedor confirme la cifra exacta: 7,7 millones es el peor escenario y la investigación sigue abierta. Actuar ahora cuesta minutos; esperar, semanas.
Fuentes
- BleepingComputer — «Iris Ohyama data cloud breach exposes info of 7.7 million customers» (8 de noviembre de 2026): https://www.bleepingcomputer.com/news/security/iris-ohyama-data-cloud-breach-exposes-info-of-77-million-customers/
- Cyber Insider — «Iris Plaza says cloud breach exposed data on 7.7 million customers»: https://cyberinsider.com/iris-plaza-cloud-breach-7-7-million-people/
- Japan Cyber Watch — «Japan Cybersecurity Week in Review: November 1–7, 2026» (7 de noviembre de 2026): https://japancyberwatch.com/articles/japan-cyber-week-2026-11-07