A SEGA confirmou que 2.196.044 endereços de email de subscritores de newsletters foram expostos depois de um terceiro não identificado ter acedido, sem autorização, aos sistemas da Arara, a empresa que trata do envio de emails da SEGA e da SEGA Fave. Segundo o comunicado da SEGA, a Arara está a investigar a origem do acesso e a tomar medidas para evitar mais danos.
Além dos endereços de email, houve fuga de informação associada ao envio das newsletters, mas apenas em 92.273 dos casos. A SEGA afirma que, até ao momento do anúncio, não há indícios de que tenham sido expostos nomes, datas de nascimento, géneros, moradas, números de telefone, dados de cartões de crédito ou palavras-passe. Também não existem registos de utilização indevida dos dados expostos.
Quem tem uma SEGA Account não é afetado. O sistema que gere os emails associados a essas contas é diferente do que foi comprometido.
Os endereços expostos pertencem a 11 newsletters enviadas em julho, setembro e outubro. A lista inclui o anúncio de lançamento de CHUNITHM Mate, seis newsletters de lançamento de SEGA Lucky Kuji Online, o anúncio de ONGEKI Re:Fresh Act.2, dois avisos sobre a presença da SEGA no Tokyo Game Show 2026 e o anúncio de lançamento de maimai DX MAGiCAL.
A SEGA está a investigar o caso em conjunto com a Arara e decidiu adiar o envio de newsletters através do sistema deste fornecedor até a investigação terminar. A Arara propôs ainda que seja apresentado um relatório conjunto à Comissão de Proteção de Informações Pessoais do Japão, e a SEGA pretende contactar individualmente cada pessoa afetada quando os detalhes da fuga estiverem confirmados. A empresa diz também que vai reforçar a gestão da informação, incluindo os dados pessoais entregues a prestadores de serviços externos.
Entretanto, quem subscreveu as newsletters em causa deve desconfiar de emails inesperados. A SEGA alerta que os endereços expostos podem ser usados para alguém se fazer passar pela SEGA ou pela Arara.
A SEGA não é a única empresa atingida. Segundo o ASCII.jp, a Arara anunciou a 2 de novembro que cerca de 77 milhões de endereços de email poderão ter sido extraídos do serviço Arara Message. O mesmo meio refere que o serviço foi suspenso a 31 de outubro e que poderão estar em causa até cerca de 380 empresas clientes. Segundo a Arara, a lista de dados expostos varia de empresa para empresa e, em alguns casos, inclui informação além do email, como nomes ou datas de nascimento.
Um segundo incidente, sem relação com o primeiro
Na semana passada, a SEGA Fave, subsidiária que gere as máquinas arcade e os brinquedos do grupo, anunciou outro acesso não autorizado, este a servidores do ALL.Net, o serviço de rede das arcades da SEGA, e do Aime, o sistema de cartões usado para guardar os dados dos jogadores. A empresa garante que este caso não tem ligação com a fuga de emails das newsletters.
De acordo com o anúncio da SEGA Fave, de 2 de novembro, os serviços associados foram suspensos a 1 de novembro para verificações de segurança. A investigação inicial não encontrou indícios de fuga de dados de utilizadores ou de parceiros, e os dados de pagamento, incluindo cartões de crédito, estão em servidores separados. É este incidente que explica porque é que o SEGA Lucky Kuji Online, relacionado com seis das newsletters afetadas, continua em manutenção.
Como o ALL.Net é usado por vários jogos, a paragem não se limitou aos títulos da SEGA. A Bandai Namco, por exemplo, também viu afetados jogos como Taiko no Tatsujin e Idolmaster TOURS. Na última atualização divulgada a 6 de novembro a SEGA Fave ainda não tinha um calendário para repor os serviços, e há jogos que continuam indisponíveis.
