Sega: naruszenie u Arary ujawniło 2,19 mln adresów e-mail z newsletterów

Co ujawniła Sega

Sega opublikowała 9 listopada 2026 r. oświadczenie, w którym podała, że 2 196 044 adresów e-mail z jej newsletterów opuściło serwery Arary, japońskiej firmy, która wysyła je w jej imieniu. W przypadku 92 273 z nich doszły dodatkowe informacje towarzyszące wysyłce; Sega podała, że ta część jest nadal badana.

Firma podała, że ujawnione dane nie obejmują imion i nazwisk, dat urodzenia, płci, adresów pocztowych ani numerów telefonów. Nie było w nich też danych kart ani haseł do logowania. Adresy zarejestrowane w SEGA Account nie znalazły się w naruszeniu, bo ten system korzysta z innej usługi wysyłkowej.

Sega wymieniła 11 newsletterów wysłanych między 2 lipca a 28 października 2026 r., od CHUNITHM Mate po kampanie Sega Lucky Kuji, w tym ONGEKI Re:Fresh Act.2, maimai de luxe i dwie wysyłki o Tokyo Game Show 2026.

Zmieniające się relacje dostawcy

Chronologia to część, której oświadczenie Segi nie wygładza. Według raportu 29 października Arara poinformowała Segę, że nie doszło do wycieku. 3 listopada potwierdziła, że adresy Segi zostały ujawnione.

Pierwsze publiczne zawiadomienie Arary z 29 października datowało nieautoryzowany dostęp na dzień wcześniej i podawało, że w jednym systemie przejęto 3,01 mln adresów e-mail. Firma przypisała dostęp luce w serwerze internetowym wykorzystanej przez osobę trzecią, a także innym problemom w swoim środowisku.

Trzeci raport Arary z 6 listopada wykazał 81 329 467 unikalnych adresów i u nawet 380 klientów korporacyjnych. Różnica między 3,01 mln a 81,3 mln to nie zaokrąglenie: raport opisuje dwie metody liczenia i śledztwo, które w ciągu jedenastu dni przeszło od jednego serwera do trzech osobnych środowisk. Usługa wysyłkowa jest zatrzymana od 31 października.

Ryzyko phishingu

Trzeci raport Arary podał, że między 28 a 30 października z jej infrastruktury wyszło do 7,13 mln wiadomości podszywających się pod firmy kartowe, z tematami takimi jak prośba o potwierdzenie danych o użytkowaniu. Atakujący nie potrzebowali haseł; infrastruktura wysyłkowa pozwoliła im pisać głosem dostawcy.

Oświadczenie Segi prosi odbiorców, by nie otwierali linków ani załączników, i podaje, że firma nie prosi e-mailem o hasła ani dane kart. Arara podała, że jej usługa nie przechowuje numerów kart, więc wiadomości, które o nie prosiły, nie miały czego weryfikować.

Raport stawia sprawę Segi obok innych japońskich naruszeń powiązanych z usługami zewnętrznymi, w tym Asoview z 15,82 mln rekordów, Bic Camera z 15,2 mln adresów, MOS Burger z 7,5 mln e-maili i Iris Ohyama z 7,7 mln poszkodowanych.

Drugi, osobny incydent

Sega Lucky Kuji Online pozostaje w trybie konserwacji po innym incydencie: nieautoryzowanym dostępie do serwerów sieci arcade ALL.Net i Aime firmy Sega Fave, potwierdzonym 2 listopada. Sega podaje, że obie sprawy nie są ze sobą powiązane.

Ten drugi system uwierzytelnia sesje gier i zapisy maszyn. Raport nie podaje daty jego przywrócenia.