Resumo:
Iris Ohyama, um conhecido fabricante japonês de eletrodomésticos e produtos domésticos, divulgou recentemente um grande incidente de segurança de dados. O shopping online oficial da empresa, Iris Plaza, sofreu um ataque cibernético. O invasor acessou ilegalmente o serviço de nuvem de terceiros usado pela empresa, resultando no roubo ou visualização de informações pessoais de cerca de 7,7 milhões de usuários. Atualmente, a empresa suspendeu websites relevantes e alguns serviços relacionados e está investigando o impacto específico do incidente.
Alice Oyama descobriu uma anomalia em 28 de outubro de 2026. Naquela época, a equipe descobriu um arquivo suspeito no serviço externo de armazenamento em nuvem usado pela empresa, fechou imediatamente o shopping online Iris Plaza e sistemas relacionados e iniciou uma investigação. Em 29 de outubro, a empresa confirmou a ocorrência de acesso ilegal de terceiros e denunciou à polícia japonesa e à Comissão de Proteção de Informações Pessoais.
Em 5 de novembro, a empresa emitiu um segundo comunicado, divulgando ainda mais a escala dos dados que podem ser afetados. De acordo com as informações atualmente disponíveis, a quantidade total de informações pessoais envolvidas é de aproximadamente 7,7 milhões de pessoas, incluindo aproximadamente 5,8 milhões de membros atuais e previamente registrados e aproximadamente 1,9 milhão de usuários não-membros. Estes últimos incluem principalmente consumidores que compram mercadorias diretamente sem registrar uma conta, bem como pessoas que participaram de promoções e sorteios da empresa.
As informações que podem vazar variam dependendo da identidade do usuário. Para membros registados, os dados envolvidos incluem nome, morada, número de telefone, endereço de e-mail, sexo, data de nascimento, palavra-passe da conta, etc. Para utilizadores não membros, as informações que podem ser afetadas incluem principalmente nome, morada, número de telefone e endereço de e-mail.
Vale ressaltar que usuários que cancelaram suas contas também podem ser afetados, mas a empresa afirmou que os dados dos membros cancelados não contêm informações de senha. Para as senhas e algumas outras informações que ainda são retidas, a empresa já utilizou criptografia para armazená-las, mas ainda não divulgou detalhadamente os algoritmos de criptografia específicos e as medidas de proteção.
Um aspecto relativamente tranquilizador deste incidente é que as informações do cartão de crédito não foram comprometidas. Alice Oyama disse que as informações do cartão de crédito não foram originalmente armazenadas no serviço de nuvem de terceiros que foi acessado ilegalmente desta vez e, portanto, não se enquadraram no escopo de vazamento potencial deste incidente. Até 5 de novembro, a empresa não recebeu relatos de perdas de fundos ou roubo de contas diretamente relacionados a este incidente.
O ataque também fez com que Alice Oyama suspendesse outras partes do seu negócio online. Além do site oficial de compras Iris Plaza, o site da SIMPLE STYLE, marca de moda para o lar da empresa, também encerrou as operações no dia 28 de outubro. Além disso, o serviço de assinatura de eletrodomésticos operado pela afiliada do grupo Iris Tech Service, bem como o site do serviço de entrega e instalação de móveis e eletrodomésticos, também pararam temporariamente de aceitar novos aplicativos.
A empresa enfatizou que não encontrou nenhum acesso ilegal ou vazamento de dados nos serviços relacionados acima mencionados, mas para evitar a expansão do incidente, ainda decidiu encerrar temporariamente os sistemas relevantes. Quanto a quando as operações serão retomadas, atualmente não há cronograma.
Por outro lado, as lojas oficiais de Alice Oyama abriram em plataformas de comércio eletrônico de terceiros, como Rakuten Market, Yahoo! O Shopping e o mercado au PAY no Japão não encontraram nenhuma anormalidade relacionada a este incidente e ainda podem operar normalmente. Para mercadorias encomendadas através do Iris Plaza, a empresa disse que continuará a organizar os envios, mas alguns pedidos podem atrasar.
Atualmente, os investigadores não confirmaram a identidade do invasor, nem seu método específico de invasão. A empresa não revelou o nome do provedor de serviços de nuvem terceirizado e disse que não recebeu contato direto ou demandas de chantagem dos invasores. Se este incidente foi um ataque direcionado ao sistema de armazenamento em nuvem ou um roubo de dados usando uma vulnerabilidade de segurança em um serviço de terceiros, ainda precisa ser investigado mais detalhadamente.
Iris Oyama lembra aos consumidores que se a senha que usaram no Iris Plaza também for usada em outros sites ou serviços de rede, eles devem alterar a senha da conta relevante o mais rápido possível. Como esse incidente envolve informações pessoais como nome, endereço, número de telefone e data de nascimento, os invasores também poderão usar essas informações reais para realizar golpes de phishing precisos no futuro, como se passar por uma plataforma de compras para enviar avisos de reembolso, lembretes de anomalias logísticas ou avisos de segurança da conta.
A empresa lembra especificamente aos usuários que tomem cuidado com e-mails, mensagens de texto, ligações e sites falsos que fingem ser Alice Oyama e agências governamentais relacionadas. A equipe oficial não solicitará aos usuários senhas, números de identificação pessoal ou códigos de autenticação por e-mail ou mensagens de texto, nem solicitará aos usuários que insiram essas informações confidenciais por meio de links desconhecidos.
Para os consumidores que possam ser afetados, a empresa planeja notificar os consumidores um por um por e-mail e outros métodos com base no andamento da investigação. Atualmente não existe nenhuma ferramenta online disponível para verificar publicamente se um indivíduo foi afetado.
Este incidente destaca mais uma vez os riscos de segurança de dados enfrentados por grandes empresas de varejo que dependem de serviços de nuvem de terceiros. Mesmo que o próprio site oficial da empresa e os sistemas internos não sejam atacados diretamente, enquanto houver vulnerabilidades de segurança na plataforma externa em nuvem que armazena dados de clientes, as informações de milhões de consumidores ainda poderão ser expostas. Para empresas de varejo com enormes bancos de dados de usuários, gerenciamento de permissões, criptografia de dados, monitoramento de acesso e revisão de segurança de fornecedores de serviços em nuvem de terceiros tornaram-se links de segurança que não podem ser ignorados.
Comentários