SEGA straciła 2,2 miliona adresów e-mail, choć nikt się do niej nie włamał. Włamano się do firmy, która wysyła jej newslettery

Do SEGI nikt się nie włamał. Mimo to 9 listopada producent gier poinformował, że wyciekło 2 196 044 adresów e-mail subskrybentów jego newsletterów, bo włamano się do firmy, której płaci za ich wysyłkę. Ta firma to Arara, japońska usługa mailingowa, a SEGA jest jednym z około 380 poszkodowanych klientów.

Pouczająca jest kolejność zdarzeń. Między 28 a 30 października ktoś użył systemu Arary do wysłania nawet 7,13 miliona wiadomości podszywających się pod wystawców kart kredytowych i proszących o sprawdzenie wyciągów, a wszystko to z prawdziwego adresu Arary. 29 października SEGA zapytała Ararę, czy jej dane są bezpieczne, i usłyszała, że żadnego wycieku nie było. 2 listopada spółka matka Arary, Paycloud, podała, że ujawnionych mogło zostać około 77 milionów adresów e-mail. Dzień później SEGA dostała e-mail z potwierdzeniem, że są wśród nich także jej adresy. BleepingComputer wymienia wśród innych ofiar MOS Burger (7,5 miliona adresów), sieć kin Shochiku, TKC i operatora komórkowego IIJmio.

Dla subskrybentów SEGI szkody są ograniczone. Firma twierdzi, że w danych nie było imion i nazwisk, adresów zamieszkania, numerów telefonów, danych kart ani haseł, że adresy powiązane z SEGA Account znajdują się w osobnym systemie i że jak dotąd nie stwierdziła nadużyć. Listy, które wyciekły, służyły do jedenastu wysyłek między lipcem a październikiem, głównie o grach arcade i internetowej loterii firmy. Z poszkodowanymi SEGA skontaktuje się indywidualnie.

Sam adres e-mail to z pozoru niewiele, ale lista potwierdzonych fanów SEGI jest dokładnie tym, czego szuka phisher. SEGA zapewnia, że nigdy nie poprosi e-mailem o hasło ani numer karty, więc każda wiadomość, która to robi, w jej imieniu albo w imieniu Arary, nadaje się do kosza. Kontrola Prywatność i konta w Tendvane pozwala szybko sprawdzić, jak dobrze chronione jest konto e-mail, na które trafiają te wszystkie newslettery.