Iris Ohyama'da 7,7 milyon kişinin verisi çalındı

Ne çalındı, nasıl oldu?

Iris Ohyama, 28 Ekim 2026'da harici bir bulut hizmetinde şüpheli dosyalar fark etti ve ardından saldırganların 7,7 milyon kişinin verisini çaldığını doğruladı.

İhlal, Iris Plaza'nın hem üyelerini hem de üye olmayan müşterilerini etkiledi. Yaklaşık 5,8 milyon üyenin verileri ad, adres, telefon numarası, e-posta adresi, cinsiyet, doğum tarihi ve bazı kullanıcılar için şifrelenmiş parolaları kapsıyor. 1,9 milyon üye olmayan kişinin verileri ise ad, adres, telefon ve e-posta ile sınırlı.

Şirket, kredi kartı bilgilerinin ele geçirilmediğini vurguladı. Ancak parolalar için hangi şifreleme yönteminin kullanıldığını açıklamadı; bu da saldırganların zayıf hash'leri çevrimdışı kırma ihtimalini açık bırakıyor.

Iris Ohyama, müşteri güvenliği için Iris Plaza sitesini geçici olarak askıya aldı ve Japonya'nın veri koruma kurumuna ve yerel kolluk kuvvetlerine bildirimde bulundu. Şirket henüz fidye talebi almadığını ve saldırganları tespit edemediğini söylüyor.

Şifrelenmiş parola güvenli anlamına gelmiyor

Şifrelenmiş parolalar düz metinden iyidir, ancak şifreleme yöntemi açıklanmadığı için kullanıcıların özellikle aynı parolayı başka yerlerde kullanıyorlarsa kimlik bilgilerini değiştirmesi gerekiyor.

Şifreleme veya hash'leme, saldırganların çalınan parolaları doğrudan kullanmasını zorlaştırır; ancak zayıf algoritmalar veya kötü uygulamalar kırılabilir. Iris Ohyama, kullanıcılara giriş bilgilerini güncellemelerini, özellikle de aynı parolayı birden fazla hizmette kullananların bunu yapmasını tavsiye etti.

Kimlik bilgisi doldurma saldırıları, yani saldırganların çalınan kullanıcı adı-parola çiftlerini diğer sitelerde denemesi, ihlallerin sık görülen bir devamıdır. Iris Ohyama'daki parolalar hash'lenmiş olsa bile başka yerlerde aynı parolayı kullanmak diğer hesapları riske atar. Geçen ay FTP ve webmail şifrelerinin çalındığı DreamHost veri ihlali de aynı senaryoyu gösteriyordu: sızan kimlik bilgileri başka servislerde tek tek deneniyor.

Japon şirketler için zor bir sezon

Iris Ohyama, GMO, Burger King Japan ve Daiichi Kosho'nun ardından Japon kuruluşları hedef alan siber saldırılar zincirinin son halkası.

Son aylarda Japonya'da bir ihlal dalgası yaşandı. Burger King Japan 11,18 milyon müşterisinin verisini kaybetti; Daiichi Kosho'nun tedarik zincirine yapılan kötü amaçlı yazılım saldırısı 8,7 milyon müşteri ve çalışanın verisini etkiledi. GMO saldırısı özellikle yıkıcı oldu; şirket müşterilerine bilgisayarlarının fişini çekmelerini söyledi.

Japonya'da yıllık 1,53 milyar dolar geliriyle tanınan Iris Ohyama, güvenlik olaylarıyla boğuşan büyük Japon firmaları listesine katılıyor. Şirketin ABD, Avrupa, Çin ve Güney Kore'de üretim ve dağıtım operasyonları var; ancak ihlal Japon e-ticaret platformuyla sınırlı görünüyor. Olay, 851 bin hesabı vuran Harvard ihlali gibi büyük ölçekli sızıntıların daha geniş bir eğilimini de izliyor.

Türkiye'de durum ne?

Iris Plaza, Japonya'ya özel bir e-ticaret sitesi; ihlalin Türkiye'deki kullanıcıları doğrudan etkilediğine dair bir açıklama yok. Iris Ohyama'nın Türkiye'de bilinen bir e-ticaret platformu bulunmuyor; şirketin uluslararası sitelerini kullandıysanız yine de hesabınızı kontrol etmenizde fayda var.

Türkiye'den Iris Plaza'ya üye olan okurlar varsa parolalarını hemen değiştirmeli ve aynı parolayı kullandıkları diğer hesaplarda da güncelleme yapmalı. Şirket henüz global bir etkiden söz etmedi; verilerin kötüye kullanıldığına dair kanıt yok, ancak oltalama girişimleri görülebilir.

Iris Ohyama ihlali, şifrelenmiş parolaların bile dikkat gerektirdiğini hatırlatıyor. Henüz fidye talebi veya sızıntı yok; etkinin boyutu belirsizliğini koruyor, ancak kullanıcıların hesaplarını korumak için şimdiden harekete geçmesi gerekiyor.