Sega: vụ rò rỉ tại Arara làm lộ 2,19 triệu email bản tin

Những gì Sega công bố

Ngày 9 tháng 11 năm 2026, Sega ra thông báo cho biết 2.196.044 địa chỉ email từ các bản tin của hãng đã rời khỏi máy chủ của Arara, công ty Nhật Bản gửi thư thay mặt Sega. Trong số đó, 92.273 địa chỉ đi kèm thông tin bổ sung gắn với lần gửi thư; Sega nói phần này vẫn đang được xem xét.

Công ty cho biết dữ liệu bị lộ không gồm tên, ngày sinh, giới tính, địa chỉ bưu chính hay số điện thoại. Cũng không có dữ liệu thẻ hay mật khẩu đăng nhập. Các địa chỉ đăng ký với SEGA Account nằm ngoài vụ rò rỉ vì hệ thống đó dùng một dịch vụ gửi thư khác.

Sega liệt kê 11 bản tin gửi từ ngày 2 tháng 7 đến ngày 28 tháng 10 năm 2026, từ CHUNITHM Mate đến các chiến dịch Sega Lucky Kuji, gồm ONGEKI Re:Fresh Act.2, maimai de luxe và hai lần gửi thư về Tokyo Game Show 2026.

Lời kể thay đổi của nhà cung cấp

Phần dòng thời gian là chỗ thông báo của Sega không làm mờ đi. Theo báo cáo, ngày 29 tháng 10, Arara nói với Sega rằng không có rò rỉ. Ngày 3 tháng 11, Arara xác nhận các địa chỉ của Sega đã bị lộ.

Thông báo công khai đầu tiên của Arara, đề ngày 29 tháng 10, xác định vụ truy cập trái phép xảy ra một ngày trước đó và cho biết 3,01 triệu địa chỉ email đã bị xâm phạm trong một hệ thống. Công ty quy lỗi cho một lỗ hổng máy chủ web bị bên thứ ba khai thác, cùng các vấn đề khác trong môi trường của mình.

Báo cáo thứ ba của Arara, đề ngày 6 tháng 11, ghi nhận 81.329.467 địa chỉ duy nhất và tối đa 380 khách hàng doanh nghiệp. Khoảng cách giữa 3,01 triệu và 81,3 triệu không phải do làm tròn: báo cáo mô tả hai cách đếm và một cuộc điều tra chuyển từ một máy chủ sang ba môi trường riêng biệt trong mười một ngày. Dịch vụ gửi thư đã dừng từ ngày 31 tháng 10.

Nguy cơ lừa đảo

Báo cáo thứ ba của Arara cho biết từ ngày 28 đến 30 tháng 10, có tới 7,13 triệu tin nhắn phát đi từ hạ tầng của công ty, mạo danh các công ty thẻ, với tiêu đề như yêu cầu xác nhận dữ liệu sử dụng. Kẻ tấn công không cần mật khẩu; hạ tầng gửi thư cho phép chúng viết bằng giọng của nhà cung cấp.

Thông báo của Sega đề nghị người nhận không mở liên kết hay tệp đính kèm và nói công ty không yêu cầu mật khẩu hay dữ liệu thẻ qua email. Arara cho biết dịch vụ của mình không lưu số thẻ, nên những tin nhắn yêu cầu số thẻ không có gì để đối chiếu.

Báo cáo đặt vụ Sega bên cạnh các vụ rò rỉ khác ở Nhật Bản liên quan đến dịch vụ bên thứ ba, gồm Asoview với 15,82 triệu bản ghi, Bic Camera với 15,2 triệu địa chỉ, MOS Burger với 7,5 triệu email và Iris Ohyama với 7,7 triệu người bị ảnh hưởng.

Một sự cố thứ hai, riêng biệt

Sega Lucky Kuji Online vẫn trong trạng thái bảo trì sau một sự cố khác: truy cập trái phép vào máy chủ mạng lưới máy game arcade ALL.Net và Aime của Sega Fave, được thừa nhận ngày 2 tháng 11. Sega nói hai vụ không liên quan.

Hệ thống thứ hai này xác thực phiên chơi game và hồ sơ máy. Báo cáo không nêu ngày dịch vụ hoạt động trở lại.