日本家品集團 Iris Ohyama 旗下株式會社 Iris Plaza 於十一月五日就官方網購站「Iris Plaza」刊出第二報，指調查後確認其使用的外部雲端服務曾遭第三者未授權存取，存放於該處的個人資料可能已外洩。官方寫明受影響個人資料總數約七百七十萬人，當中會員（包括已退會者）約五百八十萬人、非會員約一百九十萬人；信用卡資料並未存放於該雲端服務，因此未受是次未授權存取影響。公司十月二十八日在外部雲端發現可疑檔案後即時停用網站，並於十月二十九日向警察及日本個人情報保護委員會報告。
Iris Ohyama／官方：旗下 Iris Plaza 外部雲端遭未授權存取——約七百七十萬人個人資料或外洩；信用卡未存於該服務
日本家品製造商 Iris Ohyama 集團旗下、總部位於宮城縣仙台市的株式會社 Iris Plaza，十一月五日就官方網購站「Iris Plaza」的未授權存取事件刊出第二報，確認其使用的外部雲端服務曾遭第三者入侵，存放於該服務的個人資料有外洩之虞。本報已直接讀取該份十一月五日官方 PDF 公告，並對照十月二十九日首份暫停網站通知，以及其後英語資安媒體對公司回應的報道，來源真實性已驗證。下文整理官方時間線、可能受影響的資料類別、第三方雲端風險如何放大電商個資暴露面，以及對香港企業的實務啟示。
一、官方第二報確認外部雲端資料或已外洩
Iris Plaza 在十一月五日的第二報開宗明義表示，集團就該網購站的未授權存取持續調查後，已確認「個人資料的一部分有外洩可能」。公司就此向顧客及相關人士致歉，並寫明會嚴肅對待事件，繼續查清原因及防止再發。
時間線以官方表述為準。十月二十八日，公司在其使用的外部雲端服務上發現可疑檔案，隨即停止「Iris Plaza」及相關系統並展開調查；其後確認屬第三者未授權存取，並於十月二十九日刊出第一報。後續調查進一步發現，保管在該外部雲端的資料「有向外洩漏的可能」。官方寫明：該處保存的個人資料總數約七百七十萬人，而「現時已確認這些資料有被瀏覽或取得的可能」；實際外洩件數及受影響人數仍在調查。截至十一月五日，公司表示尚未接獲因今次事件而出現的盜用或金錢損害報告。
可能外洩的資料項目，官方以十一月五日為準分成兩類。會員資料（包括已退會者）約五百八十萬人，項目包括姓名、地址、電話、電郵、性別、密碼及出生日期等；已退會者不包含密碼資料。非會員資料約一百九十萬人，涵蓋未登記會員但曾經購物，或曾參加宣傳活動的人士，項目包括姓名、地址、電話及電郵。官方特別註明：並非每名顧客的上述全部欄位都已外流，實際項目視乎登記情況而異；包括密碼在內的部分項目已加密，惟公告沒有說明採用哪一種加密方式。
信用卡資料方面，官方確認並未存放於今次受影響的該項雲端服務，因此未受是次未授權存取影響。Iris Plaza 在其他外部電商平台經營的店鋪，截至公告當日亦未發現與今次事件有關的未授權存取或資料外洩。
技術細節
官方沒有公布該外部雲端服務的供應商品牌、具體漏洞名稱或攻擊者身份，本文亦不作推測。已知的技術事實是：出事位置是公司「所使用的外部雲端服務」，公司是在該處發現可疑檔案後，才確認第三者已取得未授權存取，其後再確認雲端內所存個資有被瀏覽或取得的可能。這表示風險出在委外托管的資料面，而不是官方點名某一款自建應用程式的已知漏洞編號。
應變動作同樣以官方時間戳為準。十月二十八日確認未授權存取後，公司立即停止 Iris Plaza 及相關系統，並阻斷未授權存取路徑；十月二十九日向警察及日本個人情報保護委員會報告。公告指，後續會在相關機關及外部專家協助下繼續調查，並以儘早恢復為目標。對可能受影響的顧客，公司表示會由十一月五日起展開所需通知，並按調查結果以電郵等途徑逐一聯絡。官方同時提醒：公司不會在相關通知中索取密碼、個人識別碼、認證碼或其他重要資料，也不會要求顧客在電郵或短訊所附連結輸入這些資料。
為防止損害擴大，Iris Plaza 營運的家居時尚專門店「SIMPLE STYLE」亦由十月二十八日起停止網站。集團旗下株式會社 Iris Tech Service 經營的家電子閱服務，以及家具家電配送安裝等服務網站，同日起停止並暫停新申請；官方寫明這兩項服務目前未確認未授權存取或資料外洩，重開時間待另行公布。Iris Plaza 主站則須在查明原因並採取再發防止措施後，才會公布重開日期。
英語資安媒體 BleepingComputer 其後向 Iris Plaza 查詢攻擊手法及是否接獲贖金要求。該媒體引述公司發言人表示，未接獲攻擊者的直接通訊，亦尚未識別加害者。此點並未寫入十一月五日的官方 PDF，屬該媒體後續訪問，本文分開標明，不把它當成官方第二報的原文表述。
二、技術原理深度解析
是次事件的技術核心，是「顧客個資放在外部雲端」之後，委託方如何知道托管面已被人進去，以及進去之後能看到甚麼。電商平台日常要把會員檔、訂單聯絡、活動名單交給顧客關係、行銷或營運系統使用，這些資料集往往不會與收款系統放在同一處：收款端遵循較嚴格的卡組織要求，未必在同一雲端存放完整卡號；會員檔卻因為行銷、物流與客服需要，集中了姓名、地址、電話、電郵，甚至密碼雜湊與出生日期。官方確認信用卡資料不在受影響雲端，正說明支付資料與會員主檔已經分開存放——這降低了直接盜刷風險，但並沒有降低個資被用來做精準釣魚或帳戶盜用的風險。
「在外部雲端發現可疑檔案」是今次調查的起點，也揭示偵測位置往往落在托管環境本身，而不是只靠自家網站的登入日誌。若網站前端、內容管理或會員資料庫透過第三方雲端運作，攻擊者未必需要先攻破公司辦公室網絡；只要雲端租戶的存取金鑰、管理控制台、連線的應用程式介面或被植入的後門檔案足以讀取物件儲存或資料庫，資料便可能在網站看起來仍正常運作時被複製。官方其後才寫出「有被瀏覽或取得的可能」，代表調查已越過「有人進來」的階段，進入「資料是否被讀走」的取證，但實際件數仍未定案。對外界而言，這意味著七百七十萬是該雲端所保存的資料總量上限，而不是已核實被竊取的人數；公司亦明文寫道實際外洩件數及影響人數仍在調查。
密碼欄位「已經加密」同樣需要按字面理解，而不能自動等同於現代、不可逆且加鹽的雜湊。公告沒有說明演算法、是否加鹽，或加密金鑰是否與資料存放在同一環境。若金鑰與密文一併置於被讀取的同一租戶，加密對已取得雲端內容的攻擊者幫助有限；若屬正確加鹽的單向雜湊，則主要風險轉為顧客在其他網站重用同一密碼。官方要求可能受影響人士，若在其他服務使用相同密碼便應更改，正是針對這一種跨站重用風險。已退會會員不含密碼，則顯示公司在退會流程中至少刪除或不再保留該欄，但姓名、地址與聯絡方式等識別資料仍然留在同一雲端，對已不再使用該站的人士同樣構成暴露。
今次事件也示範了電商集團在發現事故後，如何把影響面由單一網站擴大到相連品牌站。SIMPLE STYLE 與 Iris Tech Service 相關網站是「以防萬一」而停用，官方並未在這些服務上確認未授權存取。這類預防性停站可以減少攻擊者利用同一帳號體系或同一托管帳戶橫向移動，但同時也把營運中斷擴及未確認受影響的業務線。對採用共用雲端帳戶、共用顧客主檔或同一身分供應商的香港電商品牌來說，這正是供應商與租戶責任分界變得實際的時刻：資料在哪一個雲端專案、哪一組金鑰、哪一個地區，往往比「網站本身有沒有被掛馬」更能決定事故範圍。
四、日常應用場景
1. 開發者與技術團隊
負責會員系統、行銷自動化或把顧客名單交託給雲端資料倉、物件儲存的工程團隊，應把今次公告當作一份可對照的檢查清單。會員主檔是否與支付資料分離，只是起點；還要問：第三方雲端的管理權限有沒有獨立於網站應用程式的金鑰輪替；物件儲存或資料庫有沒有對外公開的存取政策；是否能在數小時內發現陌生檔案或異常下載量，而不是等到營運人員在目錄裏「看見」可疑檔案；日誌是否涵蓋雲端控制面而不只是網站前端。密碼欄位應使用加鹽單向雜湊，金鑰不得與密文放在同一可被一次讀取的位置。對已退會帳戶，除密碼外，識別資料的保留期限也應可被 auditable 地執行，避免「人已離開、檔仍留在同一雲端」。
2. 企業與隱私敏感行業
零售、物流、訂閱制服務及任何把顧客聯絡與活動名單放上外部雲端的機構，都要正視「第三方托管」並不是把風險一併外判。即使信用卡不在同一系統，姓名、地址、電話、電郵與出生日期已足以支撐精準釣魚、假冒客服或帳戶接管。企業應核對自身雲端租戶的資料分類：哪些檔案真的需要放在可被多個應用讀取的共享空間；供應商事故通知條款有否要求在發現可疑檔案後的時限內通報；以及一旦停站，相連品牌或子服務會否因為共用身分而必須一併下線。對在日本或同時服務日本顧客的香港公司而言，向個人情報保護委員會報告是當地制度要求；對持有香港居民資料的公司，則仍須按《個人資料（私隱）條例》評估通知私隱專員公署及當事人的需要，不能只把事件視為日本站點的營運中斷。
3. 一般用戶
曾經在 Iris Plaza 登記、購物或參加宣傳活動的顧客，應以官方通知為準，並假設自己的聯絡資料可能已被讀取。官方建議，若在其他網站使用相同密碼，應立即更改；同時警惕冒充公司或機關的電郵、短訊、電話、假網站及假社交帳戶。公司表明不會在相關通知中索取密碼、認證碼，也不會要顧客在來訊連結輸入這些資料。未接獲通知的人士亦不應主動向陌生來電提供身分證明文件或付款資料。信用卡雖經官方確認不在受影響雲端，若之後仍接獲可疑扣帳，應直接聯絡發卡機構，而不是回覆聲稱來自 Iris Plaza 的連結。
4. 香港與亞洲市場視角
香港不少中小型電商、品牌官網與會員獎賞計劃，會把顧客名單、優惠券活動與訂單聯絡放在海外或本地的第三方雲端，以換取較快上線。今次日本大型家品官網的事故說明，風險不一定來自自家寫的結帳程式，而可能來自「用來存放會員檔的那一個雲端」。對同時服務香港與日本、或把日本站點資料與香港會員系統打通的零售集團來說，更要檢查兩地資料是否共用同一雲端帳戶與同一備份。亞洲消費者經歷多次大型個資外洩後，對電商停站與事後釣魚已經相當敏感；品牌若延遲公布可能受影響的人數與欄位，只會把解釋權交給傳聞。Iris Plaza 在第二報列出約七百七十萬人的資料總量、會員與非會員拆分，以及明確排除信用卡，有助顧客判斷自身風險，也給香港同行一份可對照的披露粒度。
五、專業評價與潛在考量
優勢
公司在發現可疑檔案當日停用主站及相關系統，翌日向警察及監管機構報告，並在第二報以具體人數區間說明雲端所存資料規模，避免只以「正在調查」帶過。把信用卡資料排除在受影響雲端之外，顯示支付與會員主檔至少在存放位置上已經分離，降低了最直接的盜刷路徑。預防性停用 SIMPLE STYLE 與 Iris Tech Service 相關網站，即使這些服務尚未確認失竊，也有助收窄同一集團內可能的橫向影響。公告同時預告釣魚風險，並劃下「不會索取密碼或認證碼」的界線，有助減少事故後常見的二次詐騙。
需要留意的地方
官方尚未公布雲端供應商名稱、入侵途徑、攻擊者身分，以及實際被瀏覽或複製的紀錄數量，外界因此無法評估相同托管服務的其他租戶是否面對同類手法。密碼「已經加密」但未說明演算法與金鑰管理，讀者不應將其理解為已可忽略憑證重用風險。七百七十萬是該雲端保存的資料總量，公司仍在調查實際外洩件數，報道不應把上限直接寫成已核實被竊人數。主站與部分相關服務截至第二報仍未公布重開日期，顧客與上游供應商都要為較長的營運中斷作準備。英語媒體後續訪問指公司未接獲攻擊者直接通訊、亦未識別加害者，這表示調查仍在早期階段，後續若有第三報，人數、欄位或歸因都可能再被修訂。
結語
Iris Plaza 十一月五日的第二報，把一宗十月底的網站停用，升級為「外部雲端所存約七百七十萬人個資或已被瀏覽或取得」的正式說明。事件再次提醒：電商最值錢、也最容易被一次讀走的，往往不是結帳頁上的卡號，而是集中存放在第三方雲端的會員與非會員聯絡檔。支付資料隔離只能擋住其中一條損害路徑；雲端租戶的權限、檔案完整性監察，以及事故後對密碼重用與釣魚的溝通，同樣決定顧客實際承受的風險。
香港企業若把顧客名單、會員系統或營運後台放在外部雲端，應核對資料分類、金鑰輪替、異常下載告警，以及供應商通報時限是否寫進合約，而不是假設「交給雲端供應商就等於已做好備份與防護」。如需在香港檢視雲端遷移、供應商存取邊界與網絡安全，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊百分之九十九點九九服務水平協議，https://ysk.hk/services/cloud-security）。
參考來源
- Iris Plaza／Iris Ohyama 官方第二報 PDF（2026-11-05）：https://www.irisohyama.co.jp/news/2026/1105.pdf
- Iris Ohyama 官方第一報（2026-10-29，網站暫停通知）：https://www.irisohyama.co.jp/news/2026/?date=1029
- BleepingComputer 後續報道（含公司發言人回應）：https://www.bleepingcomputer.com/news/security/iris-ohyama-data-cloud-breach-exposes-info-of-77-million-customers/