Iris Plaza : les données personnelles de jusqu’à environ 7,7 millions d’acheteurs ont pu être prises

Iris Plaza, la boutique en ligne du fabricant japonais Iris Ohyama, dit que des renseignements personnels appartenant à jusqu’à environ 7,7 millions de personnes ont pu être consultés ou pris dans un service infonuagique tiers que l’entreprise utilisait. La société a publié un second avis le 5 novembre 2026, après avoir suspendu le site le 28 octobre. La couverture de cet avis s’est poursuivie jusqu’au 9 novembre.

Ce qui s’est passé

Selon l’avis du 5 novembre d’Iris Ohyama (en japonais), le personnel a trouvé un fichier suspect dans un service infonuagique externe le 28 octobre. L’entreprise a suspendu Iris Plaza et les systèmes liés le même jour, confirmé un accès non autorisé et publié un premier avis le 29 octobre. Les suites ont montré que des données conservées dans ce service ont pu être consultées ou prises. L’entreprise dit que les données personnelles stockées couvrent environ 7,7 millions de personnes au total. Elle cherche encore combien de dossiers ont réellement été atteints.

SecurityWeek a rapporté le 9 novembre que l’entreprise a bloqué l’accès des attaquants, avisé la police et la Commission de protection des renseignements personnels du Japon, et retenu des spécialistes externes. Iris Plaza reste hors ligne pendant l’enquête et les réparations.

Ce qui a pu être exposé

Selon l’avis du 5 novembre :

• Environ 5,8 millions de membres actuels et anciens : nom, adresse, numéro de téléphone, adresse courriel, sexe, date de naissance et mots de passe chiffrés (les anciens membres n’ont pas de mot de passe dans l’ensemble, dit l’entreprise).
• Environ 1,9 million de non-membres : personnes ayant acheté sans s’inscrire, ou participé à des campagnes : nom, adresse, numéro de téléphone et adresse courriel.

Tous les champs ne s’appliquent pas à chaque personne. L’entreprise dit que les détails de carte de crédit n’étaient pas stockés dans le service touché, et que ses boutiques sur d’autres places de marché ne montrent aucun signe du même accès jusqu’ici. Elle dit aussi n’avoir reçu aucun signalement d’utilisation abusive ou de perte financière liée à cet incident.

La boutique Simple Style d’Iris Plaza et certains sites d’abonnement et de livraison d’Iris Tech Service ont été mis en pause par précaution. L’entreprise dit que ces services ne montrent aucune intrusion confirmée de leur côté.

Ce que ça signifie pour vous

Si vous avez acheté sur Iris Plaza, quelqu’un qui a votre nom, votre adresse et votre courriel peut rendre crédible un faux message de « récupération de compte », de remboursement ou de livraison. Des mots de passe chiffrés signifient tout de même d’arrêter de réutiliser ce mot de passe ailleurs. Les cartes ne devraient pas être touchées selon l’entreprise, mais un appel d’hameçonnage convaincant n’a pas besoin d’un numéro de carte.

Ce que vous pouvez faire

1. Surveillez l’avis individuel d’Iris Plaza par courriel. L’entreprise dit qu’elle contactera les personnes dont les données ont pu être atteintes. Elle dit qu’elle ne demandera jamais un mot de passe, un NIP ou un code de vérification, et ne placera pas ces champs sur un lien dans un message.
2. Si vous avez réutilisé votre mot de passe Iris Plaza ailleurs, changez-le sur ces services, en tapant l’adresse vous-même.
3. Traitez comme suspects les courriels, textos ou appels inattendus au sujet de cet incident, même s’ils utilisent votre vrai nom ou des détails de commande. N’ouvrez pas les pièces jointes et ne touchez pas aux liens.
4. Appelez le centre d’Iris Plaza au 0120-108-824 (jours ouvrables et samedis, 9 h 30 à 17 h, heure locale, jours fériés exclus) ou écrivez à plaza_info@irisplaza.co.jp si vous avez des questions.
5. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage si un message semble déjà connaître vos détails.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque boutique une adresse qui lui est propre, pour qu’un faux message de magasin arrivé à la mauvaise adresse se remarque. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Nitori : les données personnelles de jusqu’à environ 37,62 millions de clients ont pu être prises : une autre grande divulgation du commerce de détail japonais le même jour.

• MUJI dit maintenant que les numéros complets d’environ 1,09 million de cartes MUJI ont pu être atteints : une autre grande divulgation du commerce de détail japonais ce mois-ci.

• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage.

Sources

• Iris Ohyama / Iris Plaza, Deuxième avis : suspension temporaire du site EC Iris Plaza et possible fuite de données personnelles depuis un service infonuagique externe (en japonais), 5 novembre 2026
• Iris Ohyama / Iris Plaza, Premier avis : suspension temporaire du site EC Iris Plaza (en japonais), 29 octobre 2026
• SecurityWeek, Iris Plaza Breach May Have Exposed Data of 7.7 Million Customers (en anglais), 9 novembre 2026