Sega: утечка в Arara затронула 2,19 млн адресов почты из рассылок

Что раскрыла Sega

9 ноября 2026 года Sega опубликовала заявление: 2 196 044 адреса электронной почты из её рассылок ушли с серверов Arara — японской компании, которая отправляет эти письма от её имени. У 92 273 адресов были дополнительные данные, приложенные к рассылке; по словам Sega, эту часть ещё проверяют.

Компания заявила, что среди утёкших данных нет имён, дат рождения, пола, почтовых адресов и номеров телефонов. Данных карт и паролей для входа там тоже нет. Адреса, зарегистрированные в SEGA Account, утечка не затронула: эта система пользуется другим сервисом рассылки.

Sega перечислила 11 рассылок, отправленных со 2 июля по 28 октября 2026 года, от CHUNITHM Mate до кампаний Sega Lucky Kuji, включая ONGEKI Re:Fresh Act.2, maimai de luxe и две рассылки о Tokyo Game Show 2026.

Как менялись сообщения подрядчика

Именно хронология — то, что заявление Sega не сглаживает. По данным отчёта, 29 октября Arara сообщила Sega, что утечки не было. 3 ноября она подтвердила, что адреса Sega оказались раскрыты.

В первом публичном уведомлении Arara от 29 октября говорилось, что несанкционированный доступ произошёл днём ранее и что в одной системе скомпрометированы 3,01 млн адресов электронной почты. Причиной назвали уязвимость веб-сервера, которой воспользовалась третья сторона, а также другие проблемы в инфраструктуре.

Третий отчёт Arara от 6 ноября насчитал 81 329 467 уникальных адресов и до 380 корпоративных клиентов. Разрыв между 3,01 млн и 81,3 млн — не округление: в отчёте описаны две методики подсчёта и расследование, которое за одиннадцать дней прошло путь от одного сервера до трёх отдельных сред. Сервис рассылки остановлен с 31 октября.

Риск фишинга

В третьем отчёте Arara говорится, что с 28 по 30 октября с её инфраструктуры ушло до 7,13 млн сообщений, выдававших себя за карточные компании, с темами вроде просьбы подтвердить данные об использовании. Пароли злоумышленникам не понадобились: инфраструктура рассылки позволила им писать от имени подрядчика.

Sega в заявлении просит получателей не открывать ссылки и вложения и напоминает, что компания не запрашивает пароли и данные карт по электронной почте. Arara заявила, что её сервис не хранит номера карт, поэтому сообщениям с такими запросами не с чем было сверяться.

В отчёте случай Sega стоит рядом с другими японскими утечками через сторонние сервисы: Asoview — 15,82 млн записей, Bic Camera — 15,2 млн адресов, MOS Burger — 7,5 млн адресов почты, Iris Ohyama — 7,7 млн пострадавших.

Второй, отдельный инцидент

Sega Lucky Kuji Online остаётся на техобслуживании после другого инцидента: несанкционированного доступа к серверам игровых сетей ALL.Net и Aime компании Sega Fave, о котором стало известно 2 ноября. Sega утверждает, что эти два случая не связаны.

Вторая система отвечает за аутентификацию игровых сессий и учёт автоматов. Дату её возвращения в отчёте не называют.