У SEGA утекли 2,2 млн адресов из рассылок после взлома подрядчика
SEGA сообщила об утечке адресов электронной почты после взлома сервиса, через который отправляла письма о своих продуктах и мероприятиях.
Компания приостановила рассылки через подрядчика ARARA и проверяет, какие сведения, помимо адресов электронной почты, могли попасть к злоумышленникам. Адреса, зарегистрированные в SEGA Account, хранятся в другой системе и этим инцидентом не затронуты.
Согласно сообщению компании, которое приводит CyberInsider, утечка затронула 2 196 044 записи с адресами электронной почты. Ещё 92 273 записи содержали дополнительную информацию, связанную с отправкой рассылок. SEGA вместе с ARARA выясняет, что именно входило в эти сведения. Число записей не показывает, сколько отдельных людей пострадало: один человек мог получать несколько рассылок.
Затронуты 11 рассылок о продуктах и сервисах SEGA и её подразделения SEGA FAVE. Письма отправлялись с 2 июля по 28 октября 2026 года. Среди них были анонсы товаров лотереи SEGA Lucky Kuji Online, сообщения об участии компании в выставке Tokyo Game Show 2026 и новости об аркадных играх CHUNITHM, ONGEKI и maimai. SEGA не обнаружила в скомпрометированных данных имён, дат рождения, сведений о поле, почтовых адресов, телефонных номеров, реквизитов банковских карт и паролей.
Как SEGA узнала об утечке данных из рассылок
29 октября SEGA попросила ARARA проверить безопасность системы рассылок. Тогда подрядчик ответил, что не выявил утечки информации. После сообщения ARARA о несанкционированном доступе SEGA запросила повторную проверку. 3 ноября подрядчик уведомил компанию, что адреса, использованные для её писем, оказались раскрыты. Дополнительные сведения SEGA получила в ходе проверок с 5 по 8 ноября.
Утечка затронула и других клиентов ARARA. По оценке подрядчика, из его сервиса утекли 77 млн адресов электронной почты почти 380 корпоративных клиентов. ARARA сообщила об уязвимости веб-сервера и проблемах в системном окружении, но точный способ проникновения и время атаки ещё выясняет. В конце октября злоумышленники также использовали доступ к сервису ARARA для отправки более 7 млн писем от имени компаний, выпускающих кредитные карты.
SEGA не подтвердила случаев использования данных из её рассылок злоумышленниками. Компания советует получателям остерегаться неожиданных писем от её имени, от имени SEGA FAVE или ARARA, не открывать подозрительные ссылки и вложения. SEGA подчёркивает, что не запрашивает пароли и данные банковских карт по электронной почте. После уточнения состава утёкших данных компания планирует связаться с затронутыми пользователями индивидуально.
Отдельно SEGA FAVE расследует несанкционированный доступ к серверам аркадных сетей ALL.Net и Aime. Из-за него подразделение приостановило связанные сервисы, включая сетевую игру, SEGA Lucky Kuji Online и регистрацию новых SEGA ID. Первоначальная проверка не обнаружила признаков вывода данных клиентов или партнёров; платёжная информация хранилась отдельно. SEGA подчёркивает, что взлом серверов аркадной сети не связан с утечкой у ARARA.
В январе 2025 года SEGA объявила о запуске новой системы учётных записей для игроков.
