Sega: уцечка праз Arara выкрыла 2,19 млн адрасоў з рассылак

Што паведаміла Sega

9 лістапада 2026 года Sega апублікавала заяву, у якой паведаміла, што 2 196 044 адрасы электроннай пошты з яе рассылак сышлі з сервераў Arara — японскай кампаніі, якая рассылае іх ад яе імя. З іх 92 273 мелі дадатковую інфармацыю, якая суправаджала рассылку; Sega паведаміла, што гэтая частка яшчэ правяраецца.

Кампанія заявіла, што выкрытыя даныя не ўключаюць імёны, даты нараджэння, пол, паштовыя адрасы або тэлефонныя нумары. Таксама паведамляецца, што даныя карт і паролі для ўваходу не былі закрануты. Адрасы, зарэгістраваныя ў SEGA Account, не пацярпелі, бо гэтая сістэма выкарыстоўвае іншы сэрвіс рассылкі.

Sega пералічыла 11 рассылак, адпраўленых паміж 2 ліпеня і 28 кастрычніка 2026 года, ад CHUNITHM Mate да кампаній Sega Lucky Kuji, уключаючы ONGEKI Re:Fresh Act.2, maimai de luxe і дзве рассылкі пра Tokyo Game Show 2026.

Зменлівыя паказанні пастаўшчыка

Храналогія — гэта тое, што заява Sega не згладжвае. Паводле справаздачы, 29 кастрычніка Arara паведаміла Sega, што ўцечкі не было. 3 лістапада яна пацвердзіла, што адрасы Sega былі выкрыты.

У першым публічным паведамленні Arara ад 29 кастрычніка гаворыцца, што несанкцыянаваны доступ адбыўся днём раней і што 3,01 млн адрасоў электроннай пошты былі скампраметаваны ў адной сістэме. Доступ быў звязаны з уразлівасцю вэб-сервера, якую выкарыстаў трэці бок, а таксама з іншымі праблемамі ў яе асяроддзі.

Трэцяя справаздача Arara ад 6 лістапада налічвае 81 329 467 унікальных адрасоў і да 380 карпаратыўных кліентаў. Розніца паміж 3,01 млн і 81,3 млн — гэта не акругленне: у справаздачы апісваюцца два метады падліку і расследаванне, якое за адзінаццаць дзён перайшло ад аднаго сервера да трох асобных асяроддзяў. Сэрвіс рассылкі спынены з 31 кастрычніка.

Рызыка фішынгу

У трэцяй справаздачы Arara гаворыцца, што паміж 28 і 30 кастрычніка з яе інфраструктуры было адпраўлена да 7,13 млн паведамленняў, якія выдавалі сябе за картачныя кампаніі, з тэмамі накшталт просьбы пацвердзіць даныя аб выкарыстанні. Зламыснікам не патрэбны былі паролі; інфраструктура рассылкі дазволіла ім пісаць ад імя пастаўшчыка.

У заяве Sega просіць атрымальнікаў не адкрываць спасылкі і ўкладанні і сцвярджае, што кампанія не запытвае паролі або даныя карт па электроннай пошце. Arara паведаміла, што яе сэрвіс не захоўвае нумары карт, таму паведамленні з такімі запытамі не мелі з чым звярыцца.

У справаздачы выпадак Sega ставіцца побач з іншымі японскімі ўцечкамі, звязанымі з паслугамі трэціх бакоў, уключаючы Asoview з 15,82 млн запісаў, Bic Camera з 15,2 млн адрасоў, MOS Burger з 7,5 млн адрасоў электроннай пошты і Iris Ohyama з 7,7 млн пацярпелых.

Другі, асобны інцыдэнт

Sega Lucky Kuji Online застаецца на тэхнічным абслугоўванні пасля іншага інцыдэнту: несанкцыянаванага доступу да сервераў аркадных сетак ALL.Net і Aime кампаніі Sega Fave, пра які стала вядома 2 лістапада. Sega сцвярджае, што гэтыя два выпадкі не звязаны.

Гэтая другая сістэма аўтэнтыфікуе гульнявыя сесіі і запісы аўтаматаў. У справаздачы не паведамляецца дата яе аднаўлення.