Sega : une fuite chez Arara expose 2,19 millions d'adresses e-mail de newsletters

Ce que Sega a communiqué

Sega a publié un communiqué le 9 novembre 2026 indiquant que 2 196 044 adresses e-mail de ses newsletters avaient quitté les serveurs d'Arara, l'entreprise japonaise qui les envoie pour son compte. Parmi elles, 92 273 étaient accompagnées d'informations supplémentaires liées à l'envoi ; Sega précise que cette partie est encore à l'étude.

L'entreprise affirme que les données exposées ne comprennent ni noms, ni dates de naissance, ni sexe, ni adresses postales, ni numéros de téléphone. Elle indique aussi qu'aucune donnée bancaire ni mot de passe de connexion n'est concerné. Les adresses enregistrées sur SEGA Account sont hors du périmètre, ce système utilisant un autre service d'envoi.

Sega cite 11 newsletters envoyées entre le 2 juillet et le 28 octobre 2026, de CHUNITHM Mate aux campagnes Sega Lucky Kuji, dont ONGEKI Re:Fresh Act.2, maimai de luxe et deux envois sur le Tokyo Game Show 2026.

La version changeante d'un prestataire

La chronologie est le point que le communiqué de Sega ne gomme pas. Le 29 octobre, selon le rapport, Arara a déclaré à Sega qu'il n'y avait eu aucune fuite. Le 3 novembre, elle a confirmé que les adresses de Sega avaient été exposées.

Le premier avis public d'Arara, daté du 29 octobre, situait l'accès non autorisé la veille et faisait état de 3,01 millions d'adresses e-mail compromises dans un seul système. Il attribuait cet accès à une faille d'un serveur web exploitée par un tiers, avec d'autres problèmes dans son environnement.

Un troisième rapport d'Arara, daté du 6 novembre, recense 81 329 467 adresses uniques et jusqu'à 380 clients entreprises. L'écart entre 3,01 millions et 81,3 millions n'est pas un arrondi : le rapport décrit deux méthodes de comptage et une enquête passée d'un serveur à trois environnements distincts en onze jours. Le service d'envoi est arrêté depuis le 31 octobre.

Le risque d'hameçonnage

Le troisième rapport d'Arara indique qu'entre le 28 et le 30 octobre, jusqu'à 7,13 millions de messages ont été envoyés depuis son infrastructure en usurpant l'identité de sociétés de cartes bancaires, avec des objets comme une demande de confirmation de données d'utilisation. Les attaquants n'avaient pas besoin de mots de passe : l'infrastructure d'envoi leur permettait d'écrire avec la voix du prestataire.

Le communiqué de Sega demande aux destinataires de ne pas ouvrir les liens ni les pièces jointes et précise que l'entreprise ne demande jamais de mots de passe ni de données bancaires par e-mail. Arara indique que son service ne stocke pas de numéros de carte, si bien que les messages qui en réclamaient n'avaient rien à vérifier.

Le rapport place le cas Sega aux côtés d'autres incidents japonais liés à des services tiers, dont Asoview avec 15,82 millions d'enregistrements, Bic Camera avec 15,2 millions d'adresses, MOS Burger avec 7,5 millions d'e-mails et Iris Ohyama avec 7,7 millions de personnes concernées.

Un second incident distinct

Sega Lucky Kuji Online reste en maintenance après un autre incident : un accès non autorisé aux serveurs des réseaux d'arcade ALL.Net et Aime de Sega Fave, reconnu le 2 novembre. Sega affirme que les deux affaires sont sans lien.

Ce second système authentifie les sessions de jeu et les enregistrements des machines. Le rapport ne donne aucune date de rétablissement.