A SEGA perdeu 2,2 milhões de endereços de email sem ter sido atacada. Atacada foi a empresa que envia as suas newsletters
Ninguém invadiu a SEGA. Mesmo assim, a 9 de novembro a empresa de videojogos anunciou que 2 196 044 endereços de email de subscritores das suas newsletters tinham sido expostos, porque a firma a quem paga para enviar essas newsletters foi invadida. Essa firma é a Arara, um serviço japonês de envio de emails, e a SEGA é uma das cerca de 380 empresas clientes apanhadas no caso.
O que ensina alguma coisa é a sequência. Entre 28 e 30 de outubro, alguém usou o próprio sistema da Arara para enviar até 7,13 milhões de emails que se faziam passar por empresas de cartões de crédito e pediam às pessoas que verificassem os extratos, tudo a partir de um endereço genuíno da Arara. A 29 de outubro a SEGA perguntou à Arara se os seus dados estavam seguros e ouviu que não tinha havido fuga. A 2 de novembro a empresa-mãe da Arara, a Paycloud, disse que cerca de 77 milhões de endereços de email podiam ter sido expostos. Um dia depois a SEGA recebeu o email a confirmar que os seus estavam entre eles. O BleepingComputer aponta como outras vítimas a MOS Burger (7,5 milhões de endereços), a cadeia de cinemas Shochiku, a TKC e o operador móvel IIJmio.
Para os subscritores da SEGA os danos são limitados. A empresa diz que os dados não incluíam nomes, moradas, números de telefone, dados de cartões nem palavras-passe, que os endereços associados a uma SEGA Account estão num sistema separado e que até agora não detetou qualquer uso indevido. As listas expostas serviram para onze envios feitos entre julho e outubro, sobretudo sobre jogos de arcada e a sua lotaria online. Os afetados serão contactados individualmente.
Um endereço de email sozinho parece pouco, mas uma lista de fãs confirmados da SEGA é exatamente o que um burlão procura. A SEGA garante que nunca pedirá uma palavra-passe ou um número de cartão por email, por isso qualquer mensagem que o faça, em seu nome ou em nome da Arara, vai para o lixo. A verificação Privacidade e contas do Tendvane é uma forma rápida de ver até que ponto está protegida a conta de email onde chegam todas essas newsletters.