Sega: pelanggaran Arara mengekspos 2,19 juta email buletin

Apa yang diungkap Sega

Sega menerbitkan pernyataan pada 9 November 2026 yang menyebut 2.196.044 alamat email dari buletinnya keluar dari server Arara, perusahaan Jepang yang mengirimkannya atas namanya. Dari jumlah itu, 92.273 membawa informasi tambahan yang menyertai pengiriman; Sega menyatakan bagian itu masih ditinjau.

Perusahaan menyatakan data yang terekspos tidak mencakup nama, tanggal lahir, jenis kelamin, alamat pos, atau nomor telepon. Sega juga menyatakan tidak ada data kartu atau kata sandi login yang terlibat. Alamat yang terdaftar di SEGA Account tidak terkena karena sistem itu memakai layanan pengiriman berbeda.

Sega mencantumkan 11 buletin yang dikirim antara 2 Juli dan 28 Oktober 2026, dari CHUNITHM Mate hingga kampanye Sega Lucky Kuji, termasuk ONGEKI Re:Fresh Act.2, maimai de luxe, dan dua pengiriman tentang Tokyo Game Show 2026.

Keterangan vendor yang berubah

Kronologi inilah yang tidak dihaluskan oleh pernyataan Sega. Pada 29 Oktober, menurut laporan itu, Arara memberi tahu Sega bahwa tidak ada kebocoran. Pada 3 November, Arara mengonfirmasi bahwa alamat Sega telah terekspos.

Pemberitahuan publik pertama Arara sendiri, bertanggal 29 Oktober, menempatkan akses tidak sah pada hari sebelumnya dan menyebut 3,01 juta alamat email telah dikompromikan dalam satu sistem. Arara menyebut akses itu berasal dari kerentanan server web yang dieksploitasi pihak ketiga, dengan masalah tambahan di lingkungannya.

Laporan ketiga Arara, bertanggal 6 November, menghitung 81.329.467 alamat unik dan hingga 380 klien korporat. Selisih antara 3,01 juta dan 81,3 juta bukan pembulatan: laporan itu menjelaskan dua metode penghitungan dan investigasi yang berpindah dari satu server ke tiga lingkungan terpisah dalam sebelas hari. Layanan pengiriman telah dihentikan sejak 31 Oktober.

Risiko phishing

Laporan ketiga Arara menyebut bahwa antara 28 dan 30 Oktober, hingga 7,13 juta pesan keluar dari infrastrukturnya dengan menyamar sebagai perusahaan kartu, dengan subjek seperti permintaan konfirmasi data penggunaan. Penyerang tidak memerlukan kata sandi; infrastruktur pengiriman memungkinkan mereka menulis dengan suara vendor.

Pernyataan Sega meminta penerima tidak membuka tautan atau lampiran dan menyatakan perusahaan tidak meminta kata sandi atau data kartu lewat email. Arara menyatakan layanannya tidak menyimpan nomor kartu, sehingga pesan yang memintanya tidak punya data untuk dicocokkan.

Laporan itu menempatkan kasus Sega bersama pelanggaran Jepang lain yang terkait layanan pihak ketiga, termasuk Asoview dengan 15,82 juta catatan, Bic Camera dengan 15,2 juta alamat, MOS Burger dengan 7,5 juta email, dan Iris Ohyama dengan 7,7 juta orang terdampak.

Insiden kedua yang terpisah

Sega Lucky Kuji Online masih dalam perawatan setelah insiden berbeda: akses tidak sah ke server jaringan arkade ALL.Net dan Aime milik Sega Fave, yang diakui pada 2 November. Sega menyatakan kedua kasus tidak terkait.

Sistem kedua itu mengautentikasi sesi permainan dan catatan mesin. Laporan tidak menyebut tanggal layanan itu kembali.