SEGA perdió 2,2 millones de direcciones de correo sin que nadie la hackeara. Hackearon a la empresa que envía sus boletines
Nadie entró en SEGA. Aun así, el 9 de noviembre la compañía de videojuegos comunicó que se habían filtrado 2.196.044 direcciones de correo de suscriptores de sus boletines, porque la empresa a la que paga por enviarlos sufrió una intrusión. Esa empresa es Arara, un servicio japonés de envío de correos, y SEGA es una de las cerca de 380 compañías clientes afectadas.
Lo instructivo es la secuencia. Entre el 28 y el 30 de octubre, alguien usó el propio sistema de Arara para enviar hasta 7,13 millones de correos que se hacían pasar por entidades de tarjetas de crédito y pedían revisar los extractos, todo desde una dirección auténtica de Arara. El 29 de octubre SEGA preguntó a Arara si sus datos estaban a salvo y le respondieron que no había habido ninguna filtración. El 2 de noviembre la matriz de Arara, Paycloud, dijo que podían haber quedado expuestos unos 77 millones de direcciones de correo. Un día después SEGA recibió el correo que confirmaba que las suyas estaban entre ellas. BleepingComputer cita como otras víctimas a MOS Burger (7,5 millones de direcciones), la cadena de cines Shochiku, TKC y el operador móvil IIJmio.
Para los suscriptores de SEGA el daño es limitado. La empresa asegura que en los datos no había nombres, domicilios, números de teléfono, datos de tarjetas ni contraseñas, que las direcciones vinculadas a un SEGA Account están en un sistema aparte y que hasta ahora no ha detectado ningún uso indebido. Las listas filtradas correspondían a once envíos realizados entre julio y octubre, sobre todo de juegos arcade y de su lotería en línea. Avisará a los afectados uno por uno.
Una dirección de correo por sí sola parece poca cosa, pero una lista de fans confirmados de SEGA es justo lo que busca quien hace phishing. SEGA afirma que nunca pedirá una contraseña ni un número de tarjeta por correo, así que cualquier mensaje que lo haga, en su nombre o en el de Arara, va a la papelera. La comprobación Privacidad y cuentas de Tendvane es una forma rápida de ver qué tan protegida está la cuenta de correo a la que llegan todos esos boletines.