Sega diz que violação na Arara expôs 2,19 milhões de e-mails de newsletters

O que a Sega divulgou

A Sega publicou um comunicado em 9 de novembro de 2026 informando que 2.196.044 endereços de e-mail de suas newsletters saíram dos servidores da Arara, empresa japonesa que os envia em seu nome. Desses, 92.273 traziam informações adicionais que acompanhavam o envio; a Sega disse que essa parte ainda está em análise.

A empresa afirmou que os dados expostos não incluem nomes, datas de nascimento, sexo, endereços postais ou números de telefone. Também disse que nenhum dado de cartão ou senha de acesso foi envolvido. Endereços registrados na SEGA Account ficaram fora da violação porque esse sistema usa um serviço de envio diferente.

A Sega listou 11 newsletters enviadas entre 2 de julho e 28 de outubro de 2026, de CHUNITHM Mate a campanhas do Sega Lucky Kuji, incluindo ONGEKI Re:Fresh Act.2, maimai de luxe e dois envios sobre a Tokyo Game Show 2026.

A versão mutável de um fornecedor

A cronologia é a parte que o comunicado da Sega não suaviza. Em 29 de outubro, segundo o relatório, a Arara disse à Sega que não houve vazamento. Em 3 de novembro, confirmou que os endereços da Sega haviam sido expostos.

O primeiro aviso público da própria Arara, datado de 29 de outubro, situou o acesso não autorizado no dia anterior e afirmou que 3,01 milhões de endereços de e-mail haviam sido comprometidos em um único sistema. Atribuiu o acesso a uma vulnerabilidade de servidor web explorada por terceiros, com problemas adicionais em seu ambiente.

Um terceiro relatório da Arara, datado de 6 de novembro, contabilizou 81.329.467 endereços únicos e até 380 clientes corporativos. A diferença entre 3,01 milhões e 81,3 milhões não é arredondamento: o relatório descreve dois métodos de contagem e uma investigação que passou de um servidor a três ambientes distintos em onze dias. O serviço de envio está parado desde 31 de outubro.

O risco de phishing

O terceiro relatório da Arara afirmou que, entre 28 e 30 de outubro, até 7,13 milhões de mensagens saíram de sua infraestrutura se passando por empresas de cartão, com assuntos como um pedido para confirmar dados de uso. Os atacantes não precisavam de senhas; a infraestrutura de envio permitia que escrevessem com a voz do fornecedor.

O comunicado da Sega pede aos destinatários que não abram links ou anexos e afirma que a empresa não solicita senhas ou dados de cartão por e-mail. A Arara disse que seu serviço não armazena números de cartão, então mensagens que os pedissem não teriam nada a verificar.

O relatório coloca o caso Sega ao lado de outras violações japonesas ligadas a serviços de terceiros, incluindo Asoview com 15,82 milhões de registros, Bic Camera com 15,2 milhões de endereços, MOS Burger com 7,5 milhões de e-mails e Iris Ohyama com 7,7 milhões de pessoas afetadas.

Um segundo incidente, separado

O Sega Lucky Kuji Online segue em manutenção após um incidente diferente: acesso não autorizado aos servidores das redes de arcade ALL.Net e Aime da Sega Fave, reconhecido em 2 de novembro. A Sega diz que os dois casos não têm relação.

Esse segundo sistema autentica sessões de jogo e registros de máquinas. O relatório não informa data para o retorno.