Japon video oyun şirketi SEGA, saldırganların promosyon bültenleri dağıtmak için kullanılan harici bir hizmeti ele geçirmesinin ardından yaklaşık 2,2 milyon e-posta adresini etkileyen bir veri ihlali açıkladı. Olay, aynı e-posta teslimat sağlayıcısına güvenen birkaç büyük Japon işletmesini de etkiledi.
SEGA’nın 9 Kasım 2026 tarihli duyurusuna göre, ihlal SEGA’nın ve SEGA Fave ürün ve hizmetlerini tanıtan bültenlerle ilişkili 2.196.044 e-posta adresini ortaya çıkardı. Bu kayıtların 92.273’ü ayrıca bülten dağıtımıyla ilgili ek bilgiler içeriyordu ve şirket bu konuları hâlâ araştırıyor.
SEGA, ele geçirilen verilerin müşteri isimleri, doğum tarihleri, cinsiyet, ikamet adresleri, telefon numaraları, kredi kartı bilgileri veya hesap şifreleri içermediğini doğruladı. SEGA Hesabı’na doğrudan kayıtlı e-posta adresleri de ayrı bir sistem üzerinden yönetildiği için etkilenmedi.
Bu ifşaet, ARARA Message e-posta dağıtım platformunu işleten Japon bir şirket ARARA’dan kaynaklandı. Saldırganlar hizmete yetkisiz erişim sağladı ve birden fazla kurumsal müşteriye ait bilgileri tehlikeye attı.
ARARA, daha geniş olayın yaklaşık 380 kuruluşla ilişkili yaklaşık 77 milyon e-posta adresini etkilediğini açıkladı. Etkilenen diğer işletmeler arasında MOS Burger, Shochiku Multiplex Theatres, TKC ve internet servis sağlayıcısı IIJmio yer alıyor.
Hizmet sağlayıcı, olayı kısmen bir web sunucusundaki bir güvenlik açığı ve sistem yapılandırmasındaki zayıflıklara bağladı. Ancak, soruşturmacılar tam müdahale yöntemini veya saldırganların ilk erişim tarihini tam olarak ne zaman sağladığını henüz belirlemedi.
Saldırganlar ayrıca ARARA’nın altyapısını sahte e-postalar dağıtmak için kullandı. Ekim ayı sonunda kredi kartı şirketleri taklidi yapan yedi milyondan fazla mesajın gönderildiği ve bu da bu müdahalenin hem yetkisiz veri erişimi hem de e-posta dağıtım hizmetinin kötüye kullanılması ile ilgili olduğunu gösteriyor.
SEGA’nın soruşturması, olayın tam kapsamı ortaya çıkmadan önce başladı. 29 Ekim’de ARARA, oyun şirketine herhangi bir bilgi açığının tespit edilmediğini ilk olarak bildirdi. Ek soruşturmaların ardından, sağlayıcı 3 Kasım’da SEGA’ya müşteri e-posta adreslerinin ele geçirildiğini bildirdi.
5 Kasım ile 8 Kasım arasında yapılan daha fazla tartışma, etkilenen kayıtların kapsamını belirledi ve SEGA’nın kamuoyuna açıklamasına yol açtı.
Şirket, sızdırılan bilgilerin bültenleriyle ilgili herhangi bir kötüye kullanımını doğrulamadığını belirtti. Buna rağmen, aboneleri, suçluların SEGA, SEGA Fave veya ürünlerini taklit eden oltalama e-postalarını dağıtmak için kullanılabileceği konusunda aboneleri uyardı.
SEGA, ARARA aracılığıyla dağıtılan bültenleri soruşturma tamamlanana ve hizmetin güvenliği doğrulanana kadar askıya aldı. Şirket ayrıca ilgili bilgiler doğrulandıktan sonra etkilenen aboneleri bireysel olarak bilgilendirmeyi planlıyor.
Ayrıca, SEGA Fave yakın zamanda ALL.Net ve Aime arcade oyun hizmetlerini destekleyen sunuculara yetkisiz erişim açıkladı. Bu sistemler bakım ve güvenlik incelemesi altında olsa da, SEGA arcade olayı bülten ihlali ile ilgili olmadığını belirtti.