Sega: la violazione Arara ha esposto 2,19 milioni di email delle newsletter

Cosa ha reso noto Sega

Sega ha pubblicato una dichiarazione il 9 novembre 2026 in cui afferma che 2.196.044 indirizzi email delle sue newsletter sono usciti dai server di Arara, l'azienda giapponese che le invia per suo conto. Di questi, 92.273 contenevano informazioni aggiuntive che accompagnavano l'invio; Sega ha detto che quella parte è ancora in esame.

L'azienda ha dichiarato che i dati esposti non includono nomi, date di nascita, sesso, indirizzi postali o numeri di telefono. Ha anche precisato che non sono coinvolti dati delle carte né password di accesso. Gli indirizzi registrati a SEGA Account sono rimasti fuori dalla violazione perché quel sistema usa un servizio di invio diverso.

Sega ha elencato 11 newsletter inviate tra il 2 luglio e il 28 ottobre 2026, da CHUNITHM Mate alle campagne Sega Lucky Kuji, incluse ONGEKI Re:Fresh Act.2, maimai de luxe e due invii sul Tokyo Game Show 2026.

La versione mutevole del fornitore

La cronologia è la parte che la dichiarazione di Sega non ammorbidisce. Il 29 ottobre, secondo il rapporto, Arara ha comunicato a Sega che non c'era stata alcuna fuga. Il 3 novembre ha confermato che gli indirizzi di Sega erano stati esposti.

Il primo avviso pubblico di Arara, datato 29 ottobre, collocava l'accesso non autorizzato al giorno precedente e parlava di 3,01 milioni di indirizzi email compromessi in un unico sistema. Attribuiva l'accesso a una vulnerabilità di un server web sfruttata da terzi, con ulteriori problemi nel proprio ambiente.

Un terzo rapporto di Arara, datato 6 novembre, contava 81.329.467 indirizzi unici e fino a 380 clienti aziendali. Il divario tra 3,01 milioni e 81,3 milioni non è un arrotondamento: il rapporto descrive due metodi di conteggio e un'indagine che in undici giorni è passata da un server a tre ambienti separati. Il servizio di invio è fermo dal 31 ottobre.

Il rischio di phishing

Il terzo rapporto di Arara afferma che tra il 28 e il 30 ottobre sono partiti dalla sua infrastruttura fino a 7,13 milioni di messaggi che si spacciavano per società di carte, con oggetti come una richiesta di conferma dei dati di utilizzo. Gli attaccanti non avevano bisogno delle password; l'infrastruttura di invio permetteva loro di scrivere con la voce del fornitore.

La dichiarazione di Sega chiede ai destinatari di non aprire link o allegati e afferma che l'azienda non chiede password o dati delle carte via email. Arara ha detto che il suo servizio non memorizza i numeri delle carte, quindi i messaggi che li richiedevano non avevano nulla con cui confrontarsi.

Il rapporto colloca il caso Sega accanto ad altre violazioni giapponesi riconducibili a servizi di terzi, tra cui Asoview con 15,82 milioni di record, Bic Camera con 15,2 milioni di indirizzi, MOS Burger con 7,5 milioni di email e Iris Ohyama con 7,7 milioni di persone coinvolte.

Un secondo incidente, separato

Sega Lucky Kuji Online resta in manutenzione dopo un incidente diverso: un accesso non autorizzato ai server delle reti arcade ALL.Net e Aime di Sega Fave, riconosciuto il 2 novembre. Sega afferma che i due casi non sono collegati.

Quel secondo sistema autentica le sessioni di gioco e i registri delle macchine. Il rapporto non indica una data per il ritorno in servizio.