SEGA informó que una brecha de seguridad en su proveedor de boletines, ARARA, expuso los correos electrónicos de 2.2 millones de suscriptores, aunque no se filtraron contraseñas ni datos bancarios. ARARA admitió que el incidente afectó a múltiples clientes globales debido a una vulnerabilidad en sus servidores. Paralelamente, SEGA Fave mantiene suspendidos sus servicios de arcade por un incidente cibernético distinto y no relacionado.




El gigante japonés de los videojuegos SEGA ha revelado que una brecha de datos en su proveedor de boletines externo, ARARA, expuso las direcciones de correo electrónico de 2,2 millones de suscriptores.

La empresa afirma que los datos expuestos también incluyen 92.300 registros con información adicional que aún está por determinarse. La filtración afecta a 11 boletines vinculados a los productos y servicios de SEGA y SEGA Fave.

La investigación determinó que los datos comprometidos no incluyeron nombres de clientes, fechas de nacimiento, género, direcciones, números de teléfono, detalles de tarjetas de crédito ni contraseñas de cuentas.

Además, las direcciones de correo electrónico registradas con una "Cuenta SEGA" son gestionadas por un sistema de distribución independiente y no se vieron afectadas por este incidente.

La compañía está colaborando con ARARA para determinar qué datos fueron expuestos y afirma que no tiene pruebas confirmadas de un uso indebido.

“Actualmente estamos investigando la información asociada con la distribución de boletines en cooperación con ARARA”, declaró SEGA [enlace].

ARARA reveló el 2 de noviembre que sufrió una brecha masiva que afectó a su servicio de distribución de correo electrónico, comprometiendo 77 millones de direcciones de correo electrónico [enlace] de casi 380 clientes corporativos.

Según la empresa, una vulnerabilidad en un servidor web y problemas en su entorno de sistema contribuyeron al incidente, aunque el método exacto de intrusión y el momento preciso siguen bajo investigación.

ARARA estimó previamente un impacto menor y aseguró a SEGA el 29 de octubre que no se había producido ningún compromiso de datos.

Sin embargo, el 3 de noviembre, tras descubrir la magnitud total del incidente, ARARA notificó a la compañía de videojuegos que los datos habían sido expuestos y compartió los detalles completos entre el 5 y el 8 de noviembre.

ARARA también señaló que los atacantes abusaron de su acceso al servicio para enviar más de 7 millones de correos electrónicos suplantando a compañías de tarjetas de crédito a finales de octubre.

Otras víctimas notables del mismo incidente incluyen a MOS Burger [enlace], con 7,5 millones de correos expuestos, Shochiku Multiplex Theatres [enlace], con 3,3 millones de registros, TKC [enlace], con 2,3 millones de correos, e IIJmio [enlace], con casi 1 millón de direcciones.

Sega arcade sigue sin funcionar

Los servicios de red de juegos arcade de SEGA Fave, que sufrieron un incidente de ciberseguridad independiente la semana pasada, siguen fuera de línea, sometiéndose a mantenimiento y comprobaciones de seguridad.

El 2 de noviembre, SEGA FAVE, la filial de SEGA responsable de juguetes, gadgets electrónicos y operaciones de máquinas arcade, reveló un acceso no autorizado [enlace] a los servidores que soportan sus servicios de red de juegos arcade ALL.Net y Aime.

En respuesta, suspendió todos los servicios relacionados, incluyendo el juego en línea, SEGA Lucky Kuji Online y los nuevos registros de SEGA ID.

Su investigación inicial no encontró pruebas de exfiltración de datos de clientes o socios comerciales, mientras que la información de pago no se vio afectada porque estaba almacenada por separado.

SEGA señaló que los dos incidentes no están relacionados.

Fuente:
BleepingComputer