何が起きたか
- 日本のメーカー、アイリスオーヤマは、同社が運営するオンラインストア「アイリスプラザ」で、第三者のクラウドサービスへの不正アクセスにより、約770万人の個人データが流出した可能性があると発表した。BleepingComputerが2026年11月8日に報じた。
- 同社は10月下旬にインシデントを検知し、10月29日に詳細をほとんど示さないまま公表した。アイリスプラザと関連システムをただちに停止したという。
- 今週の続報で、外部サービス内で不審なファイルを見つけ、権限のない第三者によるアクセスを確認したと具体的に説明した。
- 数字には、登録会員と元会員の最大580万人、会員ではない人190万人が含まれる。
なぜ重要か
問題は同社自身のサーバーではなく、データを預かっていた外部の事業者にあった。最近の他の事例と同じパターンで、弱点は多くの人の情報にアクセスできる第三者である。
アイリスプラザで購入した人について、同社は、流出したデータの種類は人によって異なり、クレジットカードはこのサービスに保存されていなかったとしている。また、現会員のパスワードは暗号化して保存されていたが、方式は明らかにしておらず、元会員のパスワードは保存されていなかったとも述べている。
数字で見る
770万人、悪用の報告は0件。 11月5日の時点で、アイリスプラザには、この件に関連する情報の悪用や金銭的損失の報告は寄せられていない。同社は、何件の記録が、何人に影響したのかを引き続き確認している。
背景
アイリスプラザは、収納用品やLED照明から家電、園芸用品まで手がける日本の生活用品メーカー、アイリスオーヤマグループのオンラインストアだ。SIMPLE STYLEのストアと関連システムは10月28日に停止された。家電修理を含むIris Tech Serviceのサービスのウェブサイトも同様である。
BleepingComputerは日本語の声明を機械翻訳したものを引用しているため、原文の言い回しのニュアンスは異なる可能性がある。同社は、どのクラウド事業者が影響を受けたのかを明らかにしていない。
こうした特徴を持つ事例は、Mamíferoでも取り上げてきた。Crédit Mutuel Arkéaは取引先経由で最大1億3300万ドルの詐欺被害を受けた、Chainalysisは、侵害で全ユーザーの認証情報が流出したと認めた、韓国の金融企業にサイバー攻撃の波が押し寄せた、Firefox、Chrome、AppleがeMudhraの証明書をブロックしたがその例だ。
今後
- 同社は、流出した記録と影響を受けた人数の集計を終える必要がある。
- ストアと各サービスのサイトがいつ再開されるかは、不明のままだ。
- アイリスプラザのアカウントを持つ利用者は、ほかでも同じパスワードを使っていた場合、変更しておくのがよいだろう。
まとめ
この流出は、事業者側のインシデントがどこまで及びうるかを示している。同社の中核システムには触れないまま、数百万人に影響した。実務上の教訓は、第三者にどのデータを預けているのか、どのような管理のもとで預けているのかを見直すことだ。
出典
- BleepingComputer、「Iris Ohyama data cloud breach exposes info of 7.7 million customers」、2026年11月8日、リンク。同社の元の声明は日本語で、読むことはできなかった。同媒体が翻訳した引用を用いている。
- カバー画像：jaydeep_、CC0、Wikimedia Commonsより
編集：Rodrigo Cornejo。選定と検証の方法：ノートを書いているのは誰か。
