Sega dice que la brecha de Arara expuso 2,19 millones de correos del boletín

Lo que reveló Sega

Sega publicó un comunicado el 9 de noviembre de 2026 en el que afirma que 2.196.044 direcciones de correo de sus boletines salieron de los servidores de Arara, la empresa japonesa que los envía en su nombre. De ellas, 92.273 llevaban información adicional que acompañaba al envío; Sega dijo que esa parte sigue en revisión.

La empresa dijo que los datos expuestos no incluyen nombres, fechas de nacimiento, sexo, direcciones postales ni números de teléfono. También dijo que no había datos de tarjetas ni contraseñas de acceso. Las direcciones registradas en SEGA Account quedaron fuera de la brecha porque ese sistema usa otro servicio de envío.

Sega enumeró 11 boletines enviados entre el 2 de julio y el 28 de octubre de 2026, desde CHUNITHM Mate hasta campañas de Sega Lucky Kuji, incluidos ONGEKI Re:Fresh Act.2, maimai de luxe y dos envíos sobre Tokyo Game Show 2026.

La versión cambiante de un proveedor

La cronología es la parte que el comunicado de Sega no suaviza. El 29 de octubre, según el informe, Arara dijo a Sega que no había habido filtración. El 3 de noviembre confirmó que las direcciones de Sega habían quedado expuestas.

El primer aviso público de Arara, fechado el 29 de octubre, situó el acceso no autorizado el día anterior y dijo que 3,01 millones de direcciones de correo se habían visto comprometidas en un solo sistema. Atribuyó el acceso a una vulnerabilidad de un servidor web explotada por un tercero, con problemas adicionales en su entorno.

Un tercer informe de Arara, fechado el 6 de noviembre, contó 81.329.467 direcciones únicas y hasta 380 clientes corporativos. La diferencia entre 3,01 millones y 81,3 millones no es de redondeo: el informe describe dos métodos de recuento y una investigación que pasó de un servidor a tres entornos distintos en once días. El servicio de envío está detenido desde el 31 de octubre.

El riesgo de phishing

El tercer informe de Arara dijo que entre el 28 y el 30 de octubre salieron de su infraestructura hasta 7,13 millones de mensajes que suplantaban a empresas de tarjetas, con asuntos como una solicitud para confirmar datos de uso. Los atacantes no necesitaban contraseñas; la infraestructura de envío les permitía escribir con la voz del proveedor.

El comunicado de Sega pide a los destinatarios que no abran enlaces ni archivos adjuntos y dice que la empresa no solicita contraseñas ni datos de tarjetas por correo. Arara dijo que su servicio no almacena números de tarjeta, así que los mensajes que los pedían no tenían nada que verificar.

El informe sitúa el caso de Sega junto a otras brechas japonesas vinculadas a servicios de terceros, como Asoview con 15,82 millones de registros, Bic Camera con 15,2 millones de direcciones, MOS Burger con 7,5 millones de correos e Iris Ohyama con 7,7 millones de personas afectadas.

Un segundo incidente, distinto

Sega Lucky Kuji Online sigue en mantenimiento tras otro incidente: un acceso no autorizado a los servidores de las redes de salones recreativos ALL.Net y Aime de Sega Fave, reconocido el 2 de noviembre. Sega dice que los dos casos no tienen relación.

Ese segundo sistema autentica sesiones de juego y registros de máquinas. El informe no da fecha para su vuelta.