SEGA a perdu 2,2 millions d'adresses e-mail sans avoir été piratée. C'est l'entreprise qui envoie ses newsletters qui l'a été

Personne ne s'est introduit chez SEGA. Le 9 novembre, l'éditeur de jeux a pourtant annoncé que 2 196 044 adresses e-mail d'abonnés à ses newsletters avaient fuité, parce que la société qu'il paie pour envoyer ces newsletters a été piratée. Cette société, c'est Arara, un service japonais d'envoi d'e-mails, et SEGA fait partie des quelque 380 entreprises clientes touchées.

C'est la chronologie qui est instructive. Entre le 28 et le 30 octobre, quelqu'un a utilisé le système d'Arara pour envoyer jusqu'à 7,13 millions d'e-mails se faisant passer pour des sociétés de cartes de crédit et demandant aux destinataires de vérifier leurs relevés, le tout depuis une véritable adresse Arara. Le 29 octobre, SEGA a demandé à Arara si ses données étaient en sécurité et s'est entendu répondre qu'il n'y avait pas eu de fuite. Le 2 novembre, la maison mère d'Arara, Paycloud, a indiqué qu'environ 77 millions d'adresses e-mail avaient pu être exposées. Le lendemain, SEGA recevait l'e-mail confirmant que les siennes en faisaient partie. BleepingComputer cite aussi MOS Burger (7,5 millions d'adresses), la chaîne de cinémas Shochiku, TKC et l'opérateur mobile IIJmio parmi les victimes.

Pour les abonnés de SEGA, les dégâts sont limités. L'entreprise affirme que les données ne contenaient ni noms, ni adresses postales, ni numéros de téléphone, ni coordonnées bancaires, ni mots de passe, que les adresses liées à un SEGA Account sont gérées par un système distinct, et qu'elle n'a constaté aucun usage frauduleux à ce stade. Les listes concernées servaient à onze envois réalisés entre juillet et octobre, surtout à propos de jeux d'arcade et de sa loterie en ligne. Elle contactera individuellement les personnes concernées.

Une adresse e-mail seule, cela paraît peu, mais une liste de fans de SEGA confirmés est exactement ce que cherche un escroc. SEGA précise qu'elle ne demandera jamais un mot de passe ou un numéro de carte par e-mail : tout message qui le fait, en son nom ou en celui d'Arara, mérite la corbeille. La vérification Confidentialité et comptes de Tendvane permet de voir rapidement si le compte e-mail qui reçoit toutes ces newsletters est bien protégé.