Sega: Arara ihlalinde 2,19 milyon bülten e-postası açığa çıktı

Sega ne açıkladı

Sega, 9 Kasım 2026'da yayımladığı açıklamada bültenlerine ait 2.196.044 e-posta adresinin, bu gönderimleri kendi adına yapan Japon şirket Arara'nın sunucularından çıktığını bildirdi. Bunlardan 92.273'ü gönderime eşlik eden ek bilgiler taşıyordu; Sega bu kısmın hâlâ incelendiğini söyledi.

Şirket, açığa çıkan verilerin ad, doğum tarihi, cinsiyet, posta adresi veya telefon numarası içermediğini belirtti. Kart verilerinin ve giriş parolalarının da söz konusu olmadığını kaydetti. SEGA Account'a kayıtlı adresler ihlalin dışında kaldı; çünkü o sistem farklı bir gönderim hizmeti kullanıyor.

Sega, 2 Temmuz ile 28 Ekim 2026 arasında gönderilen 11 bülteni listeledi: CHUNITHM Mate'ten Sega Lucky Kuji kampanyalarına, ONGEKI Re:Fresh Act.2, maimai de luxe ve Tokyo Game Show 2026 hakkındaki iki gönderim dahil.

Değişen tedarikçi anlatımı

Zaman çizelgesi, Sega'nın açıklamasında yumuşatmadığı kısım. Rapora göre Arara, 29 Ekim'de Sega'ya herhangi bir sızıntı olmadığını söyledi. 3 Kasım'da ise Sega'nın adreslerinin açığa çıktığını doğruladı.

Arara'nın 29 Ekim tarihli ilk kamuya açık bildirimi, yetkisiz erişimi bir önceki güne yerleştiriyor ve tek bir sistemde 3,01 milyon e-posta adresinin ele geçirildiğini belirtiyordu. Erişimi, üçüncü bir tarafın kötüye kullandığı bir web sunucusu açığına ve ortamındaki ek sorunlara bağladı.

Arara'nın 6 Kasım tarihli üçüncü raporu 81.329.467 benzersiz adres ve 380'e varan kurumsal müşteri saydı. 3,01 milyon ile 81,3 milyon arasındaki fark yuvarlama değil: rapor iki sayım yöntemini ve on bir günde bir sunucudan üç ayrı ortama yayılan bir soruşturmayı anlatıyor. Gönderim hizmeti 31 Ekim'den beri durdurulmuş durumda.

Kimlik avı riski

Arara'nın üçüncü raporu, 28 ile 30 Ekim arasında altyapısından kart şirketlerinin kimliğine bürünen 7,13 milyona varan mesajın çıktığını belirtti; konu satırlarında kullanım verilerini doğrulama talebi gibi başlıklar vardı. Saldırganların parolaya ihtiyacı yoktu; gönderim altyapısı onlara tedarikçinin sesiyle yazma imkânı verdi.

Sega'nın açıklaması, alıcılardan bağlantıları veya ekleri açmamalarını istiyor ve şirketin e-postayla parola ya da kart verisi talep etmediğini belirtiyor. Arara, hizmetinin kart numarası saklamadığını, dolayısıyla bunları isteyen mesajların karşılaştırılacak bir verisi olmadığını söyledi.

Rapor, Sega vakasını üçüncü taraf hizmetlerden kaynaklanan diğer Japon ihlallerinin yanına koyuyor: 15,82 milyon kayıtlı Asoview, 15,2 milyon adresli Bic Camera, 7,5 milyon e-postalı MOS Burger ve 7,7 milyon etkilenen kişili Iris Ohyama.

İkinci ve ayrı bir olay

Sega Lucky Kuji Online, farklı bir olayın ardından bakımda: 2 Kasım'da kabul edilen, Sega Fave'in ALL.Net ve Aime atari ağlarının sunucularına yetkisiz erişim. Sega iki vakanın ilgisiz olduğunu söylüyor.

Bu ikinci sistem oyun oturumlarını ve makine kayıtlarını doğruluyor. Rapor, hizmetin dönüşü için bir tarih vermiyor.