Iris Ohyama fabrica cajas de plástico, utensilios de cocina y pequeños electrodomésticos para el hogar, y en Japón vende buena parte de ese catálogo a través de Iris Plaza, su tienda online. El incidente que la compañía reconoció a finales de octubre de 2026 no entró por los servidores de la tienda: el acceso no autorizado se produjo en un servicio de nube de terceros que la tienda utilizaba. Esa diferencia sitúa el origen del problema fuera del perímetro que la empresa controla.
El balance provisional que la compañía publicó el 5 de noviembre de 2026 llega a 7,7 millones de personas, según el recuento que detalla el aviso de Iris Ohyama. Son 5,8 millones de socios registrados y antiguos socios, más 1,9 millones de clientes que compraron sin abrir cuenta. En el servicio afectado había datos de contacto y contraseñas, con diferencias según cada persona. La tienda y sus sistemas relacionados llevaban cerrados desde el 28 de octubre, un día antes del primer aviso.
Lo que conviene mirar no es si la contraseña estaba cifrada, sino qué se puede montar con el resto. Una base con nombre, dirección, teléfono y fecha de nacimiento permite llamar a alguien por su nombre, citar su último pedido y pedirle que confirme una tarjeta que la empresa nunca tuvo. Ese es el fraude que llega después, y no necesita descifrar nada.
Acceso al cloud de terceros
La cronología publicada hasta el 9 de noviembre de 2026 tiene tres fechas y ninguna explicación técnica: detección a finales de octubre, cierre de la tienda el 28 y primer aviso el 29. El resto es lo que la empresa dice que todavía no sabe.
El acceso no autorizado se detectó a finales de octubre en un servicio de nube externo que la tienda usaba para parte de su operación. La empresa suspendió Iris Plaza el 28 de octubre y, al día siguiente, trasladó el caso a la Comisión de Protección de Información Personal de Japón y a la policía. La actualización del 5 de noviembre añadió el detalle que explica el alcance del incidente: un archivo sospechoso dentro de ese cloud de terceros. Hasta el 9 de noviembre no consta comunicación directa del atacante ni responsable identificado.
Los datos expuestos y el menor de los problemas
El inventario que la empresa admite como posiblemente expuesto varía según la persona, y esa variación importa más de lo que parece: dos clientes afectados pueden acabar con perfiles de riesgo muy distintos.
- Nombre completo
- Dirección postal
- Teléfono
- Correo electrónico
- Género
- Fecha de nacimiento
- Contraseña, solo en el caso de los socios activos
Las contraseñas de los socios activos se guardan cifradas, y la compañía no ha detallado con qué esquema. Cifrado significa que existe una clave capaz de devolver el texto original, así que la pregunta correcta no es si el dato estaba protegido sino dónde estaba la llave y quién podía usarla. Un hash no se revierte: se compara. Si la empresa hubiera usado un hash con sal, el robo del archivo no entregaría contraseñas utilizables. La diferencia entre esos dos mundos cabe en una palabra del comunicado.
El resto del paquete permite construir un engaño que se sostiene solo: nombre para el saludo, dirección para citar la entrega, teléfono para el mensaje y fecha de nacimiento para la excusa de la verificación. Nada de eso requiere descifrar una contraseña.
¿Cómo se reparte el impacto entre socios y no socios?
Los números separan dos poblaciones con obligaciones distintas para la empresa y con riesgos distintos para quien los sufre. Un socio tiene historial de compras y una contraseña; quien compró sin cuenta dejó sus datos y nada más.
| Grupo |
Personas |
Qué dejó en la tienda |
| Socios registrados y antiguos socios |
5,8 millones |
Datos de contacto, historial de compras y contraseña, esta última solo entre los socios activos |
| Clientes que compraron sin cuenta |
1,9 millones |
Datos de contacto y dirección de entrega |
El grueso del impacto cae del lado de los socios, y no por volumen. Un antiguo socio que cerró su cuenta hace años sigue en la base con su nombre y su dirección, sin contraseña que rotar y sin motivo para volver a entrar en la tienda, así que probablemente se entere tarde o no se entere. Para la empresa eso alarga el aviso: hay que localizar a gente que ya no es cliente activo.
Los 1,9 millones de personas sin cuenta son el grupo peor encajado en cualquier política de retención razonable. Compraron una vez, dejaron el mínimo imprescindible para que el paquete llegara a su casa y ahora aparecen en un incidente del que nadie les va a avisar por teléfono. Ahí no hay fidelización que justifique el riesgo, solo una base de datos que creció sin que nadie la mirara.
Terceros otra vez, el patrón que repite la mayoría de brechas
El vector se repite con una insistencia que ya no sorprende. En los últimos dos años, muchos de los incidentes que han terminado con datos de clientes en la calle empezaron en un proveedor, en una herramienta de marketing o en un servicio de nube que la víctima alquilaba. La brecha de Gnosis Pay puso en juego datos de titulares de tarjetas sin que la empresa atacada fuera la que alojaba esos datos. La empresa atacada tenía controles; el proveedor tenía una llave, y la llave abría lo mismo.
No todas las brechas grandes pasan por un proveedor. El ataque de ransomware 3AM contra un colegio británico entró con credenciales robadas de las copias de seguridad, sin ningún tercero de por medio. La diferencia está en quién guardaba la llave.
Lo que hace cómodo ese camino para el atacante es la distancia. El proveedor ve peticiones de una aplicación legítima, la víctima ve un servicio que funciona y nadie ve el conjunto hasta que aparece el archivo que no debería estar ahí. Cuando se descubre, el rastro se reparte entre dos empresas que no comparten registros ni calendario de incidentes, y el cliente recibe una carta que resume lo que ambas aceptaron contar.
Un archivo sospechoso en un servidor que no es tuyo
La historia de Iris Ohyama cabe en una frase que cualquier responsable de comercio electrónico debería leer en voz alta: el dato que perdimos estaba en un servidor que no era nuestro. No hubo un fallo espectacular en la tienda, ni un cifrado roto, ni un atacante dentro de la red desde hacía meses. Hubo un archivo sospechoso en una nube alquilada y 7,7 millones de personas en el balance.
Comparado con el incidente de Capcom y sus 11 millones de registros, los 7,7 millones de Iris Ohyama son una cifra menor. El dato es peor: aquí hay direcciones, teléfonos y fechas de nacimiento de personas que ni siquiera son clientes.
