La société japonaise de jeux vidéo SEGA a révélé une violation de données touchant près de 2,2 millions d’adresses e-mail après que des attaquants ont compromis un service externe utilisé pour distribuer des newsletters promotionnelles. L’incident a également touché plusieurs autres grandes entreprises japonaises qui dépendaient du même fournisseur de distribution de courriels.
Selon l’annonce de SEGA du 9 novembre 2026, la faille a révélé 2 196 044 adresses e-mail associées à des newsletters promouvant les produits et services SEGA Fave. Parmi ces dossiers, 92 273 contenaient également des informations supplémentaires concernant la distribution de newsletters, que l’entreprise enquête encore.
SEGA a confirmé que les données compromises ne comprenaient pas les noms des clients, les dates de naissance, le sexe, les adresses résidentielles, les numéros de téléphone, les détails de carte bancaire ou les mots de passe des comptes. Les adresses e-mail enregistrées directement avec le compte SEGA n’ont pas non plus été affectées car elles sont gérées via un système séparé.
L’exposition provient d’ARARA, une société japonaise qui exploite la plateforme de distribution de messagerie ARARA. Les attaquants ont obtenu un accès non autorisé au service, compromettant des informations appartenant à plusieurs clients d’entreprise.
ARARA a révélé que l’incident plus large a touché environ 77 millions d’adresses e-mail associées à près de 380 organisations. D’autres entreprises concernées seraient MOS Burger, Shochiku Multiplex Theatres, TKC et le fournisseur d’accès Internet IIJmio.
Le fournisseur de services a attribué l’incident en partie à une vulnérabilité d’un serveur web et à des faiblesses dans sa configuration système. Cependant, les enquêteurs n’ont pas établi la méthode complète d’intrusion ni la date précise où les attaquants ont eu accès pour la première fois.
Les attaquants ont également exploité l’infrastructure d’ARARA pour distribuer des e-mails frauduleux. Plus de sept millions de messages se faisant passer pour des sociétés de cartes de crédit auraient été envoyés fin octobre, démontrant que l’intrusion impliquait à la fois un accès non autorisé aux données et un abus du service de distribution de courriels.
L’enquête de SEGA a commencé avant que l’ampleur totale de l’incident ne soit claire. Le 29 octobre, ARARA a initialement informé la société de jeux qu’aucune information n’avait été identifiée. Après des enquêtes supplémentaires, le fournisseur a informé SEGA le 3 novembre que les adresses e-mail des clients avaient été compromises.
D’autres discussions entre le 5 et le 8 novembre ont établi la portée des dossiers concernés, conduisant à la divulgation publique de SEGA.
L’entreprise a indiqué qu’elle n’avait pas confirmé d’utilisation abusive des informations divulguées associées à ses bulletins. Néanmoins, elle a averti les abonnés que des criminels pourraient utiliser ces adresses exposées pour distribuer des courriels de phishing se faisant passer pour SEGA, SEGA Fave ou leurs produits.
SEGA a suspendu les bulletins distribués via ARARA jusqu’à la fin de l’enquête et la vérification de la sécurité du service. L’entreprise prévoit également de notifier individuellement les abonnés concernés une fois que les informations pertinentes auront été confirmées.
Par ailleurs, SEGA Fave a récemment révélé des accès non autorisés à des serveurs supportant ses services d’arcade ALL.Net et Aime. Ces systèmes restent en cours de maintenance et de sécurité, mais SEGA a indiqué que l’incident de l’arcade n’est pas lié à la violation de la newsletter.