Sega: Arara-Panne legt 2,19 Millionen Newsletter-Adressen offen

Was Sega bekannt gab

Sega veröffentlichte am 9. November 2026 eine Erklärung, wonach 2.196.044 E-Mail-Adressen aus seinen Newslettern die Server von Arara verlassen haben, dem japanischen Unternehmen, das die Mailings in seinem Auftrag versendet. Bei 92.273 davon waren zusätzliche Informationen enthalten, die mit dem Versand einhergingen; dieser Teil wird laut Sega noch geprüft.

Das Unternehmen teilte mit, die offengelegten Daten enthielten keine Namen, Geburtsdaten, Geschlechtsangaben, Postanschriften oder Telefonnummern. Auch Kartendaten und Login-Passwörter seien nicht betroffen. Adressen, die einem SEGA Account zugeordnet sind, seien nicht betroffen, da dieses System einen anderen Versanddienst nutze.

Sega nannte elf Newsletter, die zwischen dem 2. Juli und dem 28. Oktober 2026 versendet wurden, von CHUNITHM Mate bis zu Kampagnen für Sega Lucky Kuji, darunter ONGEKI Re:Fresh Act.2, maimai de luxe und zwei Mailings zur Tokyo Game Show 2026.

Ein Dienstleister ändert seine Darstellung

Der zeitliche Ablauf ist der Punkt, den Segas Erklärung nicht glättet. Am 29. Oktober teilte Arara Sega dem Bericht zufolge mit, es sei nichts abgeflossen. Am 3. November bestätigte das Unternehmen, dass Segas Adressen offengelegt wurden.

Araras erste öffentliche Mitteilung vom 29. Oktober verortete den unbefugten Zugriff am Vortag und nannte 3,01 Millionen kompromittierte E-Mail-Adressen in einem einzigen System. Als Ursache nannte das Unternehmen eine Schwachstelle im Webserver, die von Dritten ausgenutzt wurde, sowie weitere Probleme in seiner Umgebung.

Ein dritter Bericht von Arara vom 6. November zählte 81.329.467 eindeutige Adressen bei bis zu 380 Firmenkunden. Der Unterschied zwischen 3,01 Millionen und 81,3 Millionen ist keine Rundungsfrage: Der Bericht beschreibt zwei Zählmethoden und eine Untersuchung, die in elf Tagen von einem Server auf drei getrennte Umgebungen überging. Der Versanddienst ist seit dem 31. Oktober eingestellt.

Das Phishing-Risiko

Im dritten Bericht von Arara heißt es, zwischen dem 28. und 30. Oktober seien bis zu 7,13 Millionen Nachrichten über die eigene Infrastruktur versendet worden, die sich als Kartenunternehmen ausgaben, mit Betreffzeilen wie der Aufforderung, Nutzungsdaten zu bestätigen. Die Angreifer brauchten keine Passwörter; die Versandinfrastruktur erlaubte es ihnen, mit der Stimme des Dienstleisters zu schreiben.

Segas Erklärung bittet Empfänger, keine Links oder Anhänge zu öffnen, und betont, das Unternehmen frage Passwörter oder Kartendaten nicht per E-Mail ab. Arara teilte mit, sein Dienst speichere keine Kartennummern, sodass Nachrichten, die danach fragten, keinen Abgleich hätten.

Der Bericht ordnet den Fall Sega neben anderen japanischen Datenschutzvorfällen ein, die auf Dienstleister zurückgehen, darunter Asoview mit 15,82 Millionen Datensätzen, Bic Camera mit 15,2 Millionen Adressen, MOS Burger mit 7,5 Millionen E-Mails und Iris Ohyama mit 7,7 Millionen betroffenen Personen.

Ein zweiter, separater Vorfall

Sega Lucky Kuji Online bleibt nach einem anderen Vorfall in Wartung: unbefugter Zugriff auf die Server der Arcade-Netzwerke ALL.Net und Aime von Sega Fave, am 2. November eingeräumt. Sega zufolge hängen die beiden Fälle nicht zusammen.

Das zweite System authentifiziert Spielsitzungen und Maschinendaten. Einen Termin für die Rückkehr nennt der Bericht nicht.