सार:
प्रसिद्ध जापानी घरेलू उपकरण और घरेलू उत्पाद निर्माता, आइरिस ओह्यामा ने हाल ही में एक प्रमुख डेटा सुरक्षा घटना का खुलासा किया। कंपनी के आधिकारिक ऑनलाइन मॉल आइरिस प्लाजा पर साइबर हमला हुआ। हमलावर ने कंपनी द्वारा उपयोग की जाने वाली तृतीय-पक्ष क्लाउड सेवा तक अवैध रूप से पहुंच बनाई, जिसके परिणामस्वरूप लगभग 7.7 मिलियन उपयोगकर्ताओं की व्यक्तिगत जानकारी संभावित रूप से चोरी हो गई या देखी गई। वर्तमान में, कंपनी ने प्रासंगिक वेबसाइटों और कुछ संबंधित सेवाओं को निलंबित कर दिया है, और घटना के विशिष्ट प्रभाव की जांच कर रही है।
ऐलिस ओयामा ने 28 अक्टूबर, 2026 को एक विसंगति की खोज की। उस समय, कर्मचारियों ने कंपनी द्वारा उपयोग की जाने वाली बाहरी क्लाउड स्टोरेज सेवा में एक संदिग्ध फ़ाइल की खोज की, और तुरंत आइरिस प्लाजा ऑनलाइन मॉल और संबंधित सिस्टम को बंद कर दिया और जांच शुरू की। 29 अक्टूबर को, कंपनी ने पुष्टि की कि किसी तीसरे पक्ष द्वारा अवैध पहुंच हुई थी और इसकी सूचना जापानी पुलिस और व्यक्तिगत सूचना संरक्षण आयोग को दी गई।
5 नवंबर को, कंपनी ने दूसरी घोषणा जारी की, जिसमें प्रभावित होने वाले डेटा के पैमाने का और खुलासा किया गया। वर्तमान में उपलब्ध जानकारी के अनुसार, इसमें शामिल व्यक्तिगत जानकारी की कुल मात्रा लगभग 7.7 मिलियन लोगों की है, जिसमें लगभग 5.8 मिलियन वर्तमान और पहले से पंजीकृत सदस्य और लगभग 1.9 मिलियन गैर-सदस्य उपयोगकर्ता शामिल हैं। उत्तरार्द्ध में मुख्य रूप से वे उपभोक्ता शामिल हैं जो खाता पंजीकृत किए बिना सीधे सामान खरीदते हैं, साथ ही वे लोग जिन्होंने कंपनी के प्रचार और स्वीपस्टेक में भाग लिया है।
जो जानकारी लीक हो सकती है वह उपयोगकर्ता की पहचान के आधार पर भिन्न हो सकती है। पंजीकृत सदस्यों के लिए, शामिल डेटा में नाम, पता, फ़ोन नंबर, ईमेल पता, लिंग, जन्म तिथि, खाता पासवर्ड आदि शामिल हैं। गैर-सदस्य उपयोगकर्ताओं के लिए, जो जानकारी प्रभावित हो सकती है, उसमें मुख्य रूप से नाम, पता, फ़ोन नंबर और ईमेल पता शामिल हैं।
गौर करने वाली बात यह है कि जिन यूजर्स ने अपना अकाउंट रद्द कर दिया है, वे भी प्रभावित हो सकते हैं, लेकिन कंपनी ने कहा कि रद्द किए गए सदस्यों के डेटा में पासवर्ड की जानकारी नहीं है। पासवर्ड और कुछ अन्य जानकारी जो अभी भी बरकरार हैं, कंपनी ने पहले इसे संग्रहीत करने के लिए एन्क्रिप्शन का उपयोग किया है, लेकिन इसने अभी तक विशिष्ट एन्क्रिप्शन एल्गोरिदम और सुरक्षा उपायों का विस्तार से खुलासा नहीं किया है।
इस घटना का एक अपेक्षाकृत आश्वस्त करने वाला पहलू यह है कि क्रेडिट कार्ड की जानकारी से समझौता नहीं किया गया था। ऐलिस ओयामा ने कहा कि क्रेडिट कार्ड की जानकारी मूल रूप से तीसरे पक्ष की क्लाउड सेवा में संग्रहीत नहीं थी जिसे इस बार अवैध रूप से एक्सेस किया गया था, और इसलिए यह इस घटना के संभावित रिसाव के दायरे में नहीं आती है। 5 नवंबर तक, कंपनी को इस घटना से सीधे संबंधित फंड हानि या खाता चोरी की कोई रिपोर्ट नहीं मिली है।
हमले के कारण ऐलिस ओयामा को अपने ऑनलाइन व्यवसाय के अन्य हिस्सों को भी निलंबित करना पड़ा। आधिकारिक शॉपिंग वेबसाइट आइरिस प्लाजा के अलावा, कंपनी के होम फैशन ब्रांड SIMPLE STYLE की वेबसाइट ने भी 28 अक्टूबर को परिचालन बंद कर दिया। इसके अलावा, समूह की सहयोगी कंपनी आइरिस टेक सर्विस द्वारा संचालित घरेलू उपकरण सदस्यता सेवा, साथ ही फर्नीचर और घरेलू उपकरण डिलीवरी और इंस्टॉलेशन सेवा वेबसाइट ने भी अस्थायी रूप से नए एप्लिकेशन स्वीकार करना बंद कर दिया है।
कंपनी ने इस बात पर जोर दिया कि उसे उपर्युक्त संबंधित सेवाओं में कोई अवैध पहुंच या डेटा रिसाव नहीं मिला है, लेकिन घटना को बढ़ने से रोकने के लिए, उसने फिर भी संबंधित सिस्टम को अस्थायी रूप से बंद करने का निर्णय लिया। परिचालन कब फिर से शुरू होगा, फिलहाल इसकी कोई समय सारिणी नहीं है।
दूसरी ओर, ऐलिस ओयामा के आधिकारिक स्टोर राकुटेन मार्केट, याहू जैसे तीसरे पक्ष के ई-कॉमर्स प्लेटफॉर्म पर खुले! जापान में शॉपिंग और एयू पे मार्केट को इस घटना से संबंधित कोई असामान्यता नहीं मिली है और यह अभी भी सामान्य रूप से काम कर सकता है। आइरिस प्लाजा के माध्यम से ऑर्डर किए गए सामानों के लिए, कंपनी ने कहा कि वह शिपमेंट की व्यवस्था करना जारी रखेगी, लेकिन कुछ ऑर्डर में देरी हो सकती है।
वर्तमान में, जांचकर्ताओं ने हमलावर की पहचान, न ही उनकी विशिष्ट घुसपैठ विधि की पुष्टि की है। कंपनी ने तीसरे पक्ष के क्लाउड सेवा प्रदाता के नाम का खुलासा नहीं किया और कहा कि उसे हमलावरों से सीधे संपर्क या ब्लैकमेल की मांग नहीं मिली है। क्या यह घटना क्लाउड स्टोरेज सिस्टम पर एक लक्षित हमला था या किसी तृतीय-पक्ष सेवा में सुरक्षा भेद्यता का उपयोग करके डेटा चोरी थी, इसकी आगे जांच की जानी बाकी है।
आइरिस ओयामा उपभोक्ताओं को याद दिलाती है कि यदि उन्होंने आइरिस प्लाजा में जिस पासवर्ड का उपयोग किया है, उसका उपयोग अन्य वेबसाइटों या नेटवर्क सेवाओं पर भी किया जाता है, तो उन्हें जल्द से जल्द संबंधित खाते का पासवर्ड बदल देना चाहिए। चूंकि इस घटना में नाम, पता, फोन नंबर और जन्मतिथि जैसी व्यक्तिगत जानकारी शामिल है, इसलिए हमलावर इस वास्तविक जानकारी का उपयोग भविष्य में सटीक फ़िशिंग घोटाले को अंजाम देने के लिए भी कर सकते हैं, जैसे कि रिफंड नोटिस, लॉजिस्टिक्स विसंगति अनुस्मारक, या खाता सुरक्षा चेतावनियां भेजने के लिए शॉपिंग प्लेटफ़ॉर्म के रूप में प्रस्तुत करना।
कंपनी विशेष रूप से उपयोगकर्ताओं को ईमेल, टेक्स्ट संदेश, फोन कॉल और ऐलिस ओयामा और संबंधित सरकारी एजेंसियों का दिखावा करने वाली फर्जी वेबसाइटों से सावधान रहने की याद दिलाती है। आधिकारिक कर्मचारी उपयोगकर्ताओं से ईमेल या टेक्स्ट संदेशों के माध्यम से पासवर्ड, व्यक्तिगत पहचान संख्या या प्रमाणीकरण कोड प्रदान करने के लिए नहीं कहेंगे, न ही वे उपयोगकर्ताओं से अज्ञात लिंक के माध्यम से ऐसी संवेदनशील जानकारी दर्ज करने के लिए कहेंगे।
जो उपभोक्ता प्रभावित हो सकते हैं, उनके लिए कंपनी जांच की प्रगति के आधार पर उपभोक्ताओं को ईमेल और अन्य तरीकों से एक-एक करके सूचित करने की योजना बना रही है। वर्तमान में सार्वजनिक रूप से यह जांचने के लिए कोई ऑनलाइन टूल उपलब्ध नहीं है कि कोई व्यक्ति प्रभावित हुआ है या नहीं।
यह घटना एक बार फिर तीसरे पक्ष की क्लाउड सेवाओं पर निर्भर बड़ी खुदरा कंपनियों द्वारा सामना किए जाने वाले डेटा सुरक्षा जोखिमों को उजागर करती है। भले ही कंपनी की अपनी आधिकारिक वेबसाइट और आंतरिक सिस्टम पर सीधे हमला न किया गया हो, जब तक ग्राहक डेटा संग्रहीत करने वाले बाहरी क्लाउड प्लेटफ़ॉर्म में सुरक्षा कमजोरियां हैं, तब भी लाखों उपभोक्ताओं की जानकारी उजागर हो सकती है। विशाल उपयोगकर्ता डेटाबेस वाली खुदरा कंपनियों के लिए, अनुमति प्रबंधन, डेटा एन्क्रिप्शन, एक्सेस मॉनिटरिंग और तृतीय-पक्ष क्लाउड सेवाओं की आपूर्तिकर्ता सुरक्षा समीक्षा सुरक्षा लिंक बन गए हैं जिन्हें अनदेखा नहीं किया जा सकता है।
टिप्पणियाँ