Qué pasó
- El fabricante japonés Iris Ohyama, operador de la tienda en línea Iris Plaza, informó que los datos personales de unas 7,7 millones de personas pueden haberse expuesto tras un acceso no autorizado a un servicio en la nube de terceros. BleepingComputer lo publicó el 8 de noviembre de 2026.
- La empresa detectó el incidente a fines de octubre y lo informó con pocos detalles el 29 de octubre. Dijo haber suspendido de inmediato Iris Plaza y los sistemas relacionados.
- En una actualización de esta semana precisó que halló un archivo sospechoso en el servicio externo y que confirmó el acceso de un tercero no autorizado.
- Las cifras incluyen hasta 5,8 millones de socios registrados y exsocios, y 1,9 millones de personas que no eran socias.
Por qué importa
El problema no estuvo en los servidores de la empresa, sino en un proveedor externo que guardaba sus datos. Es el mismo patrón de otros casos recientes: el eslabón débil es un tercero con acceso a información de muchos.
Para quien compró en Iris Plaza, la empresa dice que los tipos de datos expuestos varían según la persona y que las tarjetas de crédito no se guardaban en ese servicio. También que las contraseñas de socios activos se almacenaban cifradas, sin precisar el método, y que las de exsocios no se guardaban.
El dato
7,7 millones de personas, 0 reportes de uso indebido. Hasta el 5 de noviembre, Iris Plaza no había recibido denuncias de mal uso de la información ni de pérdidas financieras ligadas al incidente. Aun así la empresa sigue determinando cuántos registros y cuántas personas resultaron afectadas.
Contexto
Iris Plaza es la tienda en línea del grupo Iris Ohyama, un fabricante japonés de productos para el hogar, desde cajoneras y luces LED hasta electrodomésticos y accesorios de jardín. La tienda SIMPLE STYLE y los sistemas asociados se suspendieron el 28 de octubre, y lo mismo ocurrió con los sitios de servicios de Iris Tech Service, entre ellos los de reparación de electrodomésticos.
BleepingComputer cita traducciones automáticas del comunicado japonés, por lo que los matices de la redacción original pueden variar. La empresa no ha dicho qué proveedor de nube fue afectado.
En Mamífero cubrimos casos con ese rasgo. Crédit Mutuel Arkéa sufrió un fraude de hasta US$ 133 millones por un proveedor, Chainalysis admitió que una brecha expuso credenciales de todos sus usuarios, una ola de ciberataques golpeó a financieras de Corea del Sur y Firefox, Chrome y Apple bloquearon certificados de eMudhra.
Qué viene
- La empresa debe terminar de contar los registros expuestos y las personas afectadas.
- Falta saber cuándo reabrirá la tienda y los sitios de servicio.
- Los usuarios con cuenta en Iris Plaza harían bien en cambiar la contraseña si la reutilizaron en otros servicios.
Cierre
La filtración muestra qué tan lejos llega un incidente en un proveedor: alcanzó a millones de personas sin tocar los sistemas centrales de la empresa. La lección práctica es revisar qué datos se confían a terceros y con qué controles.
Fuentes
- BleepingComputer, “Iris Ohyama data cloud breach exposes info of 7.7 million customers”, 8 de noviembre de 2026, enlace. El comunicado original de la empresa está en japonés y no se pudo leer; se usan las citas traducidas por el medio.
- Imagen de portada: jaydeep_, CC0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
