SEGA dit que 2,2 millions d’adresses courriel d’infolettres ont fui par le fournisseur Arara

SEGA est la plus récente entreprise à confirmer que ses clients sont touchés par la fuite chez Arara, l’entreprise japonaise d’envoi de courriels derrière « Arara Message ». Dans un avis publié le 9 novembre 2026 (en japonais), SEGA dit que des adresses courriel utilisées pour certaines infolettres sur les produits et services de SEGA et de SEGA Fave ont été prises. Elle compte 2 196 044 adresses courriel, dont 92 273 accompagnées de renseignements supplémentaires liés à l’envoi, que SEGA et Arara examinent encore.

Ce qui a été pris, et ce qui ne l’a pas été

SEGA dit que les données divulguées sont des adresses courriel et des renseignements liés à l’envoi des infolettres. Elle dit que les éléments suivants n’en font pas partie : noms, dates de naissance, genre, adresses, numéros de téléphone, renseignements de carte de crédit et mots de passe de connexion. Les adresses enregistrées dans un SEGA Account passent par un autre système d’envoi et ne sont pas visées. SEGA dit n’avoir constaté aucune utilisation abusive des données jusqu’ici.

Les infolettres visées comprennent des annonces de jeux d’arcade de SEGA comme maimai, CHUNITHM et ONGEKI. BleepingComputer (en anglais) compte 11 infolettres touchées.

Chronologie

L’avis de SEGA est d’une franchise inhabituelle sur la façon dont elle l’a appris :

• 29 octobre : dans le cadre de ses propres vérifications, SEGA demande à Arara si les données de ses infolettres sont en sécurité, et se fait répondre qu’aucune fuite n’a été confirmée.
• 1er novembre : après l’annonce publique d’un accès non autorisé par Arara, SEGA vérifie de nouveau.
• 3 novembre : Arara écrit à SEGA que les adresses courriel utilisées par SEGA ont fui. SEGA demande aussitôt plus de détails.
• 5 au 8 novembre : les deux entreprises font d’autres vérifications et Arara remet un rapport officiel.

SEGA dit qu’elle fera rapport à la Commission de protection des renseignements personnels du Japon conjointement avec Arara, qu’elle avisera les clients touchés individuellement une fois les détails confirmés, et qu’elle suspend les infolettres envoyées par Arara jusqu’à ce que leur sécurité soit confirmée.

Le lien avec la fuite chez Arara

Arara a dit le 2 novembre qu’environ 77 millions d’adresses courriel de centaines d’entreprises clientes avaient été prises dans son service, comme nous l’avons expliqué dans Arara : environ 77 millions d’adresses courriel volées. Depuis, des entreprises clientes publient leurs propres chiffres, dont Asoview et d’autres. L’avis de SEGA dit que sa fuite découle de ce même accès non autorisé à Arara Message ; c’est la part d’un client dans l’incident, pas une fuite distincte.

Par ailleurs, SEGA Fave a signalé le 2 novembre un accès non autorisé à des serveurs de ses services réseau d’arcade ALL.Net et Aime. SEGA dit que cet incident n’a aucun lien, et SEGA Lucky Kuji Online est en maintenance dans le cadre de ces vérifications.

Ce que cela signifie pour vous

Si vous étiez abonné à une infolettre de SEGA ou de SEGA Fave, votre adresse courriel peut se trouver sur une liste entre des mains criminelles, associée au fait que vous êtes amateur de SEGA. C’est utile pour l’hameçonnage. SEGA prévient que de faux courriels pourraient se faire passer pour SEGA, SEGA Fave ou leurs produits, et aussi pour Arara. Arara a déjà dit que son système avait servi à envoyer de faux courriels de société de cartes de crédit fin octobre.

Ce que vous pouvez faire

1. Méfiez-vous des courriels aux couleurs de SEGA, surtout ceux qui parlent de prix, de billets de loterie, de problèmes de compte ou de paiements. Allez sur le site de SEGA en tapant l’adresse vous-même.
2. N’envoyez jamais un mot de passe ou un numéro de carte par courriel. SEGA dit qu’elle et SEGA Fave ne les demandent jamais de cette façon.
3. N’ouvrez pas les pièces jointes ni les liens de courriels inattendus, et n’y répondez pas.
4. Méfiez-vous des courriels qui prétendent venir d’Arara, contre lesquels SEGA met aussi en garde.
5. Utilisez une adresse distincte ou un alias pour les infolettres, pour qu’une fuite comme celle-ci ne puisse pas être reliée à votre boîte principale.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias courriel de Frame vous permettent de donner aux infolettres leur propre adresse, que vous pouvez couper si elle fuit. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Arara : environ 77 millions d’adresses courriel volées : la fuite chez le fournisseur de courriels derrière les infolettres de SEGA.
• Fuite chez Arara : Asoview et d’autres entreprises clientes donnent leurs chiffres : les premières divulgations de clients dans la même fuite.
• Capcom dit que 11 774 247 adresses courriel de CAPCOM ID ont été copiées : une fuite distincte chez un autre éditeur de jeux japonais.

Sources

• SEGA, 業務委託企業への不正アクセスによる個人情報流出に関するお詫びとお知らせ (en japonais), 9 novembre 2026
• BleepingComputer, SEGA newsletter data breach exposes 2.2 million email addresses (en anglais), novembre 2026