Aufgefallen war der Vorfall Ende vergangenen Monats, als das Unternehmen eine verdächtige Datei in dem von Iris Plaza genutzten externen Cloud-Dienst entdeckte. „Wir haben Iris Plaza und die zugehörigen Systeme sofort abgeschaltet und eine Untersuchung eingeleitet. Wir haben einen unbefugten Zugriff durch Dritte bestätigt und ihn in unserer ersten Mitteilung vom 29. Oktober offengelegt“, erklärte das Unternehmen. Die Untersuchung hat inzwischen bestätigt, dass in dem kompromittierten Cloud-Dienst gespeicherte Kundendaten von Unbefugten eingesehen worden sein könnten. Wie viele Datensätze tatsächlich betroffen sind und wie viele Personen das genau trifft, wird noch ermittelt.

Nach Angaben des Unternehmens können folgende Daten offengelegt worden sein:

  • vollständige Namen
  • Anschriften
  • Telefonnummern
  • E-Mail-Adressen
  • Geschlecht
  • Geburtsdaten
  • Konto-Passwörter

Welche Datenarten betroffen sind, unterscheidet sich je nach Person: Für ehemalige Mitglieder etwa sind keine Passwörter gespeichert. Passwörter aktiver registrierter Mitglieder liegen laut Iris Plaza verschlüsselt vor; welches Verfahren dabei zum Einsatz kommt, nannte das Unternehmen nicht. Kreditkartendaten waren in dem betroffenen Cloud-Dienst nach eigenen Angaben nicht gespeichert. Mit Stand vom 5. November lagen Iris Plaza keine Meldungen über einen Missbrauch der Daten oder über finanzielle Schäden im Zusammenhang mit dem Vorfall vor.

Als Reaktion wurden der Onlineshop (SIMPLE STYLE) und zugehörige Systeme am 28. Oktober abgeschaltet. Das gilt ebenso für die Websites der Dienste der Iris Tech Service Co., Ltd., darunter Abonnements für Haushaltsgeräte sowie Lieferung und Aufbau von Möbeln und Geräten. Die japanische Datenschutzbehörde Personal Information Protection Commission und die Polizei wurden am 29. Oktober 2026 informiert.

Iris Plaza ist der Onlineshop der Iris-Ohyama-Gruppe, eines großen japanischen Herstellers von Haushaltsprodukten – von Aufbewahrungssystemen über LED-Beleuchtung bis hin zu Haushaltsgeräten und Gartenzubehör.

Eine Sprecherin beziehungsweise ein Sprecher des Unternehmens erklärte, man habe keinerlei direkte Kontaktaufnahme durch die Angreifer erhalten und die Täter bislang nicht identifiziert. Auch zu einer möglichen Lösegeldforderung gab es damit keine Hinweise.