IRIS Plaza เสี่ยงข้อมูลรั่วไหล หลังพบการเข้าถึงบริการคลาวด์ภายนอกโดยไม่ได้รับอนุญาต บริษัทในกลุ่ม IRIS Ohyama เปิดเผยเมื่อ 5 พฤศจิกายน 2569 ว่าข้อมูลที่จัดเก็บไว้ครอบคลุมประมาณ 7.7 ล้านคน อาจถูกเปิดดูหรือดึงออก จำนวนที่รั่วไหลจริงและจำนวนผู้ได้รับผลกระทบยังอยู่ระหว่างสอบสวน ไม่ใช่ข้อยืนยันว่ามีผู้ถูกฉ้อโกง 7.7 ล้านคน

ใครอยู่ในขอบเขตที่บริษัทกำลังตรวจสอบ

ประกาศฉบับที่สองแบ่งเป็นข้อมูลสมาชิกราว 5.8 ล้านคน รวมผู้ยกเลิกสมาชิก และข้อมูลผู้ไม่เป็นสมาชิกราว 1.9 ล้านคน เช่น ผู้เคยซื้อสินค้าโดยไม่สมัครหรือร่วมกิจกรรม ข้อมูลอาจรวมชื่อ ที่อยู่ โทรศัพท์ และอีเมล ส่วนสมาชิกอาจมีเพศ วันเกิด และรหัสผ่านด้วย โดยบางรายการรวมถึงรหัสผ่านถูกเข้ารหัสไว้ และข้อมูลของผู้ยกเลิกสมาชิกไม่รวมรหัสผ่าน ประเภทข้อมูลแตกต่างกันตามการลงทะเบียนของแต่ละราย

บริษัทระบุว่าข้อมูลบัตรเครดิตไม่ได้เก็บในคลาวด์ที่เกิดเหตุและไม่ได้รับผลกระทบ ณ เวลาประกาศยังไม่พบรายงานการนำข้อมูลไปใช้ผิดวัตถุประสงค์หรือความเสียหายทางการเงินที่เกิดจากเหตุนี้ แต่การสอบสวนยังดำเนินอยู่

เว็บไซต์พักบริการ และยังไม่ระบุวันเปิดกลับ

บริษัทพบไฟล์น่าสงสัยวันที่ 28 ตุลาคม จึงหยุด IRIS Plaza และระบบที่เกี่ยวข้อง ก่อนแจ้งเหตุครั้งแรกวันที่ 29 ตุลาคม การเปิดกลับจะประกาศเมื่อกำหนดมาตรการและวันคืนบริการได้ ส่วน SIMPLE STYLE และบริการบางส่วนของ IRIS Tech Service ถูกพักเพื่อป้องกันความเสียหายเพิ่มเติม โดยบริษัทยังไม่พบการเข้าถึงหรือข้อมูลรั่วไหลในบริการเหล่านั้น ณ เวลาประกาศ จึงต้องแยกการพักเพื่อป้องกันออกจากระบบที่ยืนยันพบการบุกรุก

เกี่ยวข้องกับผู้อ่านไทยอย่างไร

IRIS Ohyama มีบริษัทและจำหน่ายเครื่องใช้ในบ้านในประเทศไทยตามเว็บไซต์บริษัทไทย จึงเป็นแบรนด์ที่เกี่ยวข้องกับผู้อ่านไทย อย่างไรก็ตาม ประกาศเหตุครั้งนี้กล่าวถึง IRIS Plaza ในญี่ปุ่น ยังไม่มีหลักฐานยืนยันว่าระบบหรือข้อมูลลูกค้าในไทยได้รับผลกระทบ ไม่ควรเหมารวมผู้ซื้อสินค้าของแบรนด์ทุกประเทศ

สิ่งที่ผู้เกี่ยวข้องควรทำ

  • หากใช้รหัสผ่านเดียวกับบัญชี IRIS Plaza ในบริการอื่น ให้เปลี่ยนรหัสผ่านของบริการเหล่านั้นตามคำแนะนำบริษัท และใช้รหัสที่ต่างกัน
  • ระวังอีเมล SMS โทรศัพท์ เว็บไซต์และบัญชีสื่อสังคมแอบอ้างบริษัท อย่ากดลิงก์ เปิดไฟล์แนบ หรือส่งข้อมูลสำคัญให้ผู้ติดต่อที่สงสัย
  • บริษัทระบุว่าจะไม่ขอรหัสผ่าน PIN หรือรหัสยืนยันผ่านการแจ้งเหตุ และจะไม่ขอให้กรอกข้อมูลเหล่านี้ผ่านลิงก์ในอีเมลหรือ SMS

ข้อเสนอ ALPHASEC สำหรับองค์กรไทย: ทบทวนข้อมูลที่เก็บบนคลาวด์ของผู้รับจ้าง รวมถึงข้อมูลอดีตสมาชิกและผู้ซื้อที่ไม่สมัครบัญชี กำหนดอายุเก็บรักษาและสิทธิ์เข้าถึง พร้อมเตรียมแผนพักบริการและแจ้งผู้เกี่ยวข้องโดยแยกจำนวนที่อาจเสี่ยงออกจากจำนวนที่ยืนยันรั่วไหล แนวทางส่วนนี้เป็นข้อวิเคราะห์ของ ALPHASEC

แหล่งอ้างอิง

ตรวจต้นฉบับวันที่ 6 พฤศจิกายน 2569 ขอบเขตเหตุอ้างประกาศบริษัทวันที่ 5 พฤศจิกายน ตัวเลข 7.7 ล้านเป็นขอบเขตข้อมูลที่จัดเก็บและอาจเสี่ยง ไม่ใช่จำนวนผู้ถูกฉ้อโกงที่ยืนยันแล้ว